Conception système
Comment l’architecture maintient ses limites
Un système de production se définit autant par ce qu’il refuse que par ce qu’il accepte. Un même opérateur tient serveurs, état DNS, registre de boîte et route de livraison dans eu-north-1, avec une voie d’export documentée.
Plans de contrôle
Postfix edge
Postfix termine le SMTP destinataire et remet les messages acceptés à la frontière LMTP interne.
Authoritative mailbox store
Le service de boîte détient le brut, la forme normalisée, l’état du domaine et l’export.
Signed event boundary
Les systèmes aval reçoivent des projections minimales signées, jamais l’autorité sur le stockage.
Cycle d’une requête
verify a name and DNS state
→ create a tenant-scoped mailbox
→ accept SMTP at the recipient MX
→ deliver internally over LMTP
→ persist raw and normalized message
→ emit signed metadata event and expose owner exportModèle de défaillance
Identifiants invalides, domaines non vérifiés, signatures périmées, relectures et destinataires non canoniques sont refusés avant exposition des données.
Liste de vérification
- Direct recipient MX: Ruzayo est le MX récepteur ; aucun transfert par un parseur tiers n’est requis.
- Tenant-scoped authority: Domaine, boîte, message, identifiant et export sont résolus dans un seul locataire.
- Signed webhooks: Le consommateur vérifie signature, heure, audience et identité anti-rejeu avant d’agir.
- Exit remains possible: Les domaines et messages gardent une voie d’export explicitement autorisée.