Bevor Sie einen eigenen Mailserver betreiben

Für die meisten ist ein eigener Mailserver keine gute Idee. Ihn zu installieren ist leicht, schwer ist es, dass Ihre Nachrichten im Posteingang ankommen. Bevor Sie anfangen, sollten Sie über vier Dinge Bescheid wissen: ob der ausgehende Port 25 offen ist, den PTR-Record (Reverse-DNS) Ihrer IP-Adresse, Ihre SPF-, DKIM- und DMARC-Records und die Reputation Ihrer IP-Adresse.

Große Postfachanbieter vertrauen Mails von einem Server nicht, den sie nicht kennen. Selbst ein korrekt eingerichteter neuer Server kann im Spam landen, schlicht weil er keine Vorgeschichte hat. Dazu muss der Server verfügbar bleiben, aktuell gehalten und auf Missbrauch überwacht werden.

Wann ist es sinnvoll?

Ein eigener Server ist sinnvoll zum Lernen, für ein paar Postfächer auf einer Handvoll Domains oder wenn Sie Ihre Daten selbst in der Hand haben möchten. Er ist nicht sinnvoll, wenn Ihr Geschäft von E-Mail abhängt, wenn Sie Massenversand wie Newsletter planen oder wenn Sie keine Zeit haben, den Server zu überwachen. Außerdem müssen Sie die Postfächer selbst sichern, denn eingehende Mails liegen auf der Festplatte des Servers.

Port 25

• Mailserver liefern sich Mails untereinander über Port 25 aus. Zum Empfangen muss der Port für eingehende Verbindungen offen sein. Zum Senden muss er für ausgehende offen sein.
• Viele Netzwerke und Anbieter beschränken den ausgehenden Port 25, um Missbrauch zu verhindern. Bei Seturack ist er auf neuen Servern ebenfalls zunächst geschlossen, und Sie öffnen ihn in Ihrem Panel mit einem Klick.
• Mailprogramme wie die auf Handys und Thunderbird nutzen die Submission-Ports 587 oder 465. Diese Ports können nicht für die Zustellung zwischen Servern verwendet werden.

So testen Sie den ausgehenden Port 25 auf Ihrem eigenen Server. Lautet die Ausgabe „25 open“, kann die Verbindung aufgebaut werden:

timeout 5 bash -c 'exec 3<>/dev/tcp/gmail-smtp-in.l.google.com/25' && echo "25 open" || echo "25 closed"

Massen-E-Mails an Personen zu senden, die sie nicht angefordert haben, und dafür eine Infrastruktur aufzubauen, verstößt gegen die Nutzungsbedingungen von Seturack.

PTR, SPF, DKIM und DMARC

Empfänger nutzen diese Records, um zu prüfen, ob eine Nachricht wirklich von Ihnen kommt. Alle liegen im DNS. Die meisten richten Sie dort ein, wo Sie Ihre Domain verwalten, der PTR-Record wird aber vom Inhaber der IP-Adresse festgelegt. Klären Sie vor der Bestellung, ob Ihr Anbieter Ihnen einen PTR-Record für Ihren Server setzen lässt. Fehlt dig, installieren Sie es mit sudo apt install -y dnsutils.

Laut den offiziellen Absenderrichtlinien von Google müssen alle Absender SPF oder DKIM einrichten, die sendende IP oder Domain muss gültige Forward- und Reverse-DNS-Records (PTR) haben, Mails müssen TLS nutzen, und die Spam-Rate muss unter 0,3 Prozent bleiben. Absender, die mehr als 5.000 Nachrichten pro Tag an Gmail-Konten senden, müssen alle drei einrichten: SPF, DKIM und DMARC.

IP-Reputation

Jede IP-Adresse hat eine Vorgeschichte. Wurde die Adresse, die Sie erhalten haben, früher missbraucht, steht sie womöglich auf öffentlichen Sperrlisten (DNSBLs). Prüfen Sie Ihre Adresse vor dem Senden auf diesen Listen. Eine neue Adresse hat keine Reputation. Sie entsteht mit der Zeit, wenn Sie mit kleinen Mengen beginnen und regelmäßige, erwartete Mails senden. Ein plötzlicher großer Schwall lässt eine neue Adresse meist sofort schlecht aussehen.

Vorsicht bei IPv6

Hat Ihr Server IPv6, kann Postfix ausgehende Mails auch über IPv6 senden. IPv6 braucht eigene PTR- und SPF-Records. Wenn Sie sie nicht eingerichtet haben, erzwingen Sie für Postfix IPv4. Laut Postfix-Dokumentation braucht diese Einstellung einen Neustart, ein Reload genügt nicht:

sudo postconf -e "inet_protocols = ipv4"

sudo systemctl restart postfix

Ressourcen und Pflege

Postfix und Dovecot laufen problemlos auf einem kleinen Server. Fertige Pakete wie mailcow bringen zusätzlich eine Weboberfläche, einen Spamfilter und einen Virenscanner mit. Die offizielle Anforderung von mailcow sind in der Standardkonfiguration mindestens 6 GiB RAM plus 1 GiB Swap. Es gibt auch andere Optionen, etwa Mail-in-a-Box und iRedMail. Welche Sie auch wählen: Updates, Sicherungen und Überwachung sind Ihre Aufgabe.

Checkliste vor dem Senden

1. Ist der ausgehende Port 25 offen?
2. Ist der PTR-Record gesetzt und wird er wieder zur selben IP aufgelöst?
3. Sind die SPF-, DKIM- und DMARC-Records veröffentlicht?
4. Ist das TLS-Zertifikat gültig?
5. Steht die IP-Adresse auf einer Sperrliste?
6. Ist eine Testnachricht an Sie selbst im Posteingang oder im Spam gelandet?

Ein einfacherer Weg

Für die meisten Projekte ist es am praktischsten, Transaktionsmails (Passwort-Rücksetzungen, Bestellbenachrichtigungen) über einen E-Mail-Zustelldienst zu senden und für Ihren Posteingang einen gehosteten Postfachdienst zu nutzen. Ihr Server betreibt dann nur Ihre Anwendung, und die Zustellung der Mails überlassen Sie Spezialisten. Wenn Sie trotzdem einen eigenen Server betreiben möchten, prüfen Sie die obigen Records, bevor Sie irgendetwas installieren.