10-logging.conf règle le niveau de détail :
log_path = /var/log/dovecot.log
info_log_path = /var/log/dovecot-info.log
debug_log_path =
login_log_format = "%u: %m"
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c"
mail_log_events = delete undelete expunge copy mailbox_delete mailbox_rename
plugin {
mail_log_fields = uid box msgid size
}
Le plugin mail_log (chargé via mail_plugins = mail_log notify) écrit des lignes d'audit pour les opérations destructrices. Indispensable pour la conformité (HIPAA, services financiers).
Transmettre à un SIEM : utilisez rsyslog ou vector pour envoyer /var/log/dovecot.log vers Loki, Elastic ou Splunk. Étiquetez par mpid (identifiant du processus mail) pour regrouper les événements par session.
Suivre les connexions depuis de nouvelles IP : combinez mail_log avec un filtre fail2ban ou un script maison qui prévient l'utilisateur par e-mail quand une connexion arrive d'un ASN inconnu.
Connectez-vous pour garder une trace de ce que vous avez lu.