fix(mail): certificat TLS de poste.io synchronisé depuis CapRover

Le certificat de mail.sans.pub servi par poste.io avait expiré le
2021-02-06 : son renouvellement Let's Encrypt intégré ne peut pas
fonctionner derrière le nginx de CapRover. Le script mail/mail-cert-sync.sh
(cron quotidien) copie désormais le certificat renouvelé par CapRover
et recharge Dovecot/Haraka. L'alerte du backup n'a plus besoin de -k.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

plan-migration.md

@@ -175,7 +175,7 @@ Le changement d'IP est le principal risque :
 
 ## 4. Problèmes découverts en route (2026-10-03)
 
-- [ ] **Certificat TLS de poste.io expiré depuis le 2021-02-06** (`CN=mail.sans.pub`, ports 465/587/993) — les clients mail l'acceptent malgré tout ; à renouveler (poste.io gère Let's Encrypt lui-même, ou via les certificats CapRover montés dans `/my-certs`)
+- [x] Certificat TLS de poste.io expiré depuis le 2021-02-06 — corrigé le 2026-10-03 en réutilisant le certificat CapRover, synchronisation quotidienne (voir `CLAUDE.md` § Mail). Dans la nouvelle archi, prévoir le certificat du mail dès le départ (Caddy ne sert pas les ports mail)
 - [ ] `writefreely-db` (MariaDB 10.7) : table système `mysql.proc` incompatible → lancer `mariadb-upgrade` (ou corriger lors de la migration par dump/restore)
 - [ ] `limesurvey-mariadb-db` : `root@localhost` et `root@%` ont des mots de passe différents → à harmoniser (ou ignorer : réglé à la migration)
 - [x] Cron Nextcloud en panne du 2026-08-09 au 2026-10-03 (DNS overlay perdu) — corrigé, voir `CLAUDE.md`