03-comment-je-travaille/guides/nouveau-domaine-fiche.md

Fiche mémo — déployer un nouveau domaine

Aide-mémoire pour mettre en ligne un nouveau nom de domaine (NDD) sur le VPS : la séquence d'actions dans l'ordre, sans les explications. Pour le « pourquoi » et le dépannage, voir le runbook complet nouveau-domaine.md.

Hypothèse : Postfix + OpenDKIM + relais OVH déjà configurés (fait une seule fois, cf. runbook § 4). Cette fiche couvre l'ajout d'un domaine. Remplacer <ndd>, <IP4_VPS>, <IP6_VPS> partout.

1. DNS (OVH)

Type	Sous-domaine	Valeur
A / AAAA	`@` et `*`	`<IP4_VPS>` / `<IP6_VPS>`
TXT	`@`	`v=spf1 ip4:<IP4_VPS> ip6:<IP6_VPS> include:mx.ovh.com ~all`
TXT	`_dmarc`	`v=DMARC1; p=none; rua=mailto:postmaster@<ndd>`
TXT	`mail2026._domainkey`	clé publique DKIM (étape 3, après génération)
PTR	(interface IP OVH)	`<ndd>` — pas dans la zone DNS

2. Web + TLS

sudo mkdir -p /var/www/<ndd> && sudo chown -R ubuntu:www-data /var/www/<ndd>
# /var/www/<ndd>/index.html : page d'attente (lang="fr", titre, contraste)
sudo nano /etc/apache2/sites-available/<ndd>.conf   # vhost 80->443 + docroot (cf. runbook § 2)
sudo certbot --apache -d <ndd> -d www.<ndd>          # ou DNS-01 wildcard, cf. dsn-ovh.md
sudo a2ensite <ndd>.conf && sudo apachectl configtest && sudo systemctl reload apache2

3. Mail (clé OpenDKIM du domaine)

sudo mkdir -p /etc/opendkim/keys/<ndd> && cd /etc/opendkim/keys/<ndd>
sudo opendkim-genkey -b 2048 -d <ndd> -s mail2026 -v
sudo chown opendkim:opendkim mail2026.private && sudo chmod 600 mail2026.private

Ajouter le domaine aux tables, puis recharger :

# /etc/opendkim/key.table
mail2026._domainkey.<ndd>   <ndd>:mail2026:/etc/opendkim/keys/<ndd>/mail2026.private
# /etc/opendkim/signing.table
*@<ndd>   mail2026._domainkey.<ndd>

sudo systemctl reload opendkim
sudo cat /etc/opendkim/keys/<ndd>/mail2026.txt   # -> publier en TXT mail2026._domainkey (DNS, étape 1)

4. Vérifications

curl -I http://<ndd>            # 301 -> https
curl -I --http2 https://<ndd>   # 200, page d'attente
dig -x <IP4_VPS> +short                                # PTR -> <ndd>.
dig @1.1.1.1 TXT mail2026._domainkey.<ndd> +short      # DKIM propagé
# envoi de test -> journalctl -u postfix : relay=ssl0.ovh.net, status=sent

Score délivrabilité : mail-tester.com (objectif ≥ 9/10).

Checklist go-live

DNS A/AAAA (@ + *), SPF, DMARC publiés ; PTR cohérent
Vhost actif, configtest OK, page d'attente en HTTPS, redirection 301
Certificat TLS couvre <ndd> + www.<ndd>
Clé OpenDKIM générée (600, opendkim:opendkim), domaine dans key.table + signing.table
DKIM publié et propagé (dig @1.1.1.1)
Envoi de test : relay=ssl0.ovh.net, status=sent
mail-tester ≥ 9/10 (SPF + DKIM + DMARC Pass)

Détail, conf globale (opendkim.conf / Postfix milter / relais OVH SASL) et dépannage : nouveau-domaine.md. Voir aussi ssl-tls.md, dsn-ovh.md.