Référence de configuration

oximail config externalize-secrets --config /etc/oximail/oximail.toml          # montre les déplacements
oximail config externalize-secrets --config /etc/oximail/oximail.toml --apply  # les effectue

curl -X PUT https://mail.example.com/admin/v1/config \
  -H "Authorization: Bearer $ADMIN_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"overrides": {"rate_limit.smtp_outbound_rcpt_per_hour": 600}}'

# /etc/oximail/oximail.toml

[server]
hostname = "mail.example.com"          # identité du serveur
bind = "0.0.0.0:443"                    # socket HTTPS / JMAP
# bind = "unix:/run/oximail-http/jmap.sock"  # derrière un proxy inverse local :
                                       # un socket Unix que seul le groupe du
                                       # proxy peut ouvrir ; aucun
                                       # trusted_proxies alors
base_url = "https://mail.example.com"  # utilisé dans les URL de session JMAP
http_bind = "0.0.0.0:80"               # défis ACME + redirection HTTPS
# admin_bind = "127.0.0.1:9000"        # port d'administration séparé (optionnel)
trusted_proxies = ["127.0.0.1"]        # lire X-Forwarded-For depuis ces IP
allowed_origins = []                   # liste CORS (vide = tout refuser).
                                       # L'assistant la remplit quand le
                                       # webmail vit sur une autre origine.
                                       # Ne jamais traiter le CORS au niveau
                                       # du reverse proxy.

[storage]
sqlite_path = "/var/lib/oximail/data.db"
blob_path = "/var/lib/oximail/blobs"
encrypted = false                      # SQLite ordinaire. `true` est REFUSÉ au
                                       # démarrage depuis ADR-148 : le volume porte
                                       # la protection au repos, pas l'application.
# pool_size = 32                       # pool SQLite partagé ; ~8 Mio de cache
                                       # de pages par connexion. À augmenter
                                       # sur une machine chargée en lecture.
# durable_doors = ["smb", "smtp-inbound", "smtp-submission"]
                                       # réponses précédées d'un fdatasync du
                                       # WAL (le défaut : les trois)

[auth]
default_tenant = "default"

[mode]
role = "primary"                       # "primary", "backup" ou "smarthost"

[smtp]
bind = "0.0.0.0:25"                    # entrant (réception)
submission_bind = "0.0.0.0:587"        # soumission (envoi, STARTTLS)
smtps_bind = "0.0.0.0:465"             # soumission en TLS implicite
hostname = "mail.example.com"
dane_enabled = true                    # DANE du nom de cette box : publie et re-signe ses TLSA (RFC 7672)

# Une clé de signature par domaine d'envoi (forme tableau de la v0.30).
[[smtp.dkim_keys]]
domain = "example.com"
selector = "default"
key_path = "/etc/oximail/dkim/example.com.default.key"

[dns]
provider = "manual"                    # requis tant que dane_enabled = true : "cloudflare" ou "rfc2136" republient TLSA eux-mêmes

[tls]
acme_enabled = true                    # Let's Encrypt ; reste actif derrière un proxy (le certificat des ports de courrier)
acme_email = "admin@example.com"
# acme_reuse_key = true                # défaut : les renouvellements gardent la clé, l'épingle DANE 3 1 1 ne bouge pas

[backup]
strategy = "hypervisor-snapshot"       # le plan déclaré : "hypervisor-snapshot", "oximail-backup" ou "none"
# recipients = ["age1…"]               # sans hyperviseur : les clés publiques age pour lesquelles `backup --to` chiffre
# s3_endpoint = "https://s3.provider.example"   # --to s3://… : un bucket sous Object Lock (absent = AWS)
# s3_region = "eu-1"
# s3_access_key_id = "…"                # une clé qui ne peut qu'ajouter et lister (vérifié avant chaque passage)
# s3_secret_access_key_file = "/etc/oximail/backup-s3.secret"   # 0600, une ligne
# max_rate_mbps = 20                    # au plus ce débit envoyé par un passage
# max_duration_minutes = 360            # un passage s'arrête après cette durée ; le suivant continue

[erasure]
# ledger_hook = ["/usr/local/sbin/ship-erasure-ledger.sh"]   # expédie le registre des effacements hors de la machine après chaque effacement

[security]
fail2ban_max_attempts = 5
fail2ban_ban_minutes = 60
trusted_ips = ["10.0.0.0/8"]           # contourne le débit ET fail2ban

[rate_limit]
http_per_ip_per_minute = 100
smtp_outbound_rcpt_per_hour = 150     # destinataires par heure, par compte ; 0 = illimité

[spam]
dnsbl_servers = []

[legacy]
enabled = true                         # passerelles IMAP / CalDAV / CardDAV

[bimi]
external_resolution_enabled = true   # interrupteur serveur : éteint = ni DNS ni requête, pour toutes les organisations
serve_enabled = true                 # interrupteur d'incident : éteint = aucun logo externe émis ni servi, cache conservé
# trust_bundle = "/etc/oximail/mark-ca-bundle.pem"   # remplace les racines + AC émettrices embarquées
# ct_log_keys  = "/etc/oximail/ct-logs.json"         # remplace les clés de journal de transparence embarquées
max_concurrent = 4                   # résolutions de domaine simultanées
positive_ttl_hours = 24              # durée de vie d'un logo résolu (bornée aussi par le certificat et sa liste de révocation)
negative_ttl_hours = 24              # durée de vie d'un résultat négatif

[federation]
enabled = true
endpoint = "https://mail.example.com/jmap/federation"   # https, un nom DNS, le chemin de la porte
tls_pins = []                  # facultatif : sha256/<base64 de l'empreinte SPKI>, quatre au plus
mirror_staleness_secs = 120    # la copie d'un compte miroir a au plus cet âge (10 au minimum)
content_cache_secs = 60        # contenu miroir gardé en mémoire ; 120 au plus, jamais au-dessus de la borne d'âge
content_cache_mib = 256        # le plafond du cache en mémoire, LRU
content_cache_file_mib = 64    # un fichier plus gros est lu chez le propriétaire à chaque fois

oximail check-config --config /etc/oximail/oximail.toml