Antes de montar tu propio servidor de correo

Para la mayoría de las personas, montar un servidor de correo propio no es buena idea. Instalarlo es fácil, y lo difícil es que tus mensajes lleguen a la bandeja de entrada. Antes de empezar, debes conocer cuatro cosas: si el puerto 25 de salida está abierto, el registro PTR (DNS inverso) de tu dirección IP, tus registros SPF, DKIM y DMARC, y la reputación de tu dirección IP.

Los grandes proveedores de buzones no confían en el correo de un servidor que no conocen. Incluso un servidor nuevo bien configurado puede acabar en spam, simplemente porque no tiene historial. Además, el servidor tiene que estar siempre en marcha, actualizado y vigilado para detectar abusos.

¿Cuándo tiene sentido?

Montar tu propio servidor tiene sentido para aprender, para unos pocos buzones en un puñado de dominios o cuando quieres tener tus datos en tus manos. No tiene sentido si tu negocio depende del correo, si planeas envíos masivos como boletines o si no tienes tiempo para vigilar el servidor. Además, tienes que hacer tú mismo la copia de seguridad de los buzones, porque el correo entrante se guarda en el disco del servidor.

Puerto 25

• Los servidores de correo se entregan el correo entre sí por el puerto 25. Para recibir correo, el puerto debe estar abierto a las conexiones entrantes. Para enviar, debe estar abierto a las salientes.
• Muchas redes y proveedores restringen el puerto 25 de salida para evitar abusos. En Seturack también empieza cerrado en los servidores nuevos, y puedes abrirlo desde tu panel con un clic.
• Los clientes de correo, como los del teléfono y Thunderbird, usan los puertos de envío 587 o 465. Estos puertos no sirven para la entrega entre servidores.

Puedes probar el puerto 25 de salida en tu propio servidor así. Si la salida es "25 open", la conexión se puede establecer:

timeout 5 bash -c 'exec 3<>/dev/tcp/gmail-smtp-in.l.google.com/25' && echo "25 open" || echo "25 closed"

Enviar correo masivo a personas que no lo han pedido, y montar infraestructura para ello, incumple las condiciones del servicio de Seturack.

PTR, SPF, DKIM y DMARC

Los receptores usan estos registros para comprobar que un mensaje viene de verdad de ti. Todos están en el DNS. La mayoría los configuras donde gestionas tu dominio, pero el registro PTR lo define el propietario de la dirección IP. Antes de hacer el pedido, averigua si tu proveedor te deja configurar un registro PTR para tu servidor. Si falta dig, instálalo con sudo apt install -y dnsutils.

Según las directrices oficiales de Google para remitentes, todos los remitentes deben configurar SPF o DKIM, la IP o el dominio de envío deben tener registros DNS directo e inverso (PTR) válidos, el correo debe usar TLS y la tasa de spam debe mantenerse por debajo del 0,3 por ciento. Los remitentes que envían más de 5.000 mensajes al día a cuentas de Gmail deben tener los tres: SPF, DKIM y DMARC.

Reputación de la IP

Cada dirección IP tiene un historial. Si la dirección que te dieron se usó antes para abusos, puede estar en listas de bloqueo públicas (DNSBL). Busca tu dirección en esas listas antes de enviar. Una dirección nueva no tiene reputación. La va ganando con el tiempo si empiezas con volúmenes pequeños y envías correo regular y esperado. Un envío grande y repentino suele hacer que una dirección nueva quede mal de inmediato.

Cuidado con IPv6

Si tu servidor tiene IPv6, Postfix puede enviar también el correo saliente por IPv6. IPv6 necesita sus propios registros PTR y SPF. Si no los has configurado, fuerza a Postfix a usar IPv4. La documentación de Postfix dice que este ajuste necesita un reinicio y que una recarga no basta:

sudo postconf -e "inet_protocols = ipv4"

sudo systemctl restart postfix

Recursos y mantenimiento

Postfix y Dovecot funcionan con holgura en un servidor pequeño. Los paquetes listos para usar, como mailcow, traen además una interfaz web, un filtro de spam y análisis de virus. El requisito oficial de mailcow es al menos 6 GiB de RAM más 1 GiB de swap en la configuración predeterminada. Hay también otras opciones, como Mail-in-a-Box e iRedMail. Elijas lo que elijas, las actualizaciones, las copias de seguridad y la supervisión son cosa tuya.

Lista de comprobación antes de enviar

1. ¿Está abierto el puerto 25 de salida?
2. ¿Está configurado el registro PTR y resuelve de vuelta a la misma IP?
3. ¿Están publicados los registros SPF, DKIM y DMARC?
4. ¿Es válido el certificado TLS?
5. ¿Está la dirección IP en alguna lista de bloqueo?
6. ¿Llegó un mensaje de prueba a ti mismo a la bandeja de entrada o a spam?

Una forma más sencilla

Para la mayoría de los proyectos, lo más práctico es enviar el correo transaccional (restablecimiento de contraseñas, avisos de pedidos) mediante un servicio de envío de correo, y usar un servicio de buzones alojado para tu bandeja de entrada. Tu servidor solo ejecuta tu aplicación, y la entrega del correo se deja en manos de especialistas. Si aun así quieres montar tu propio servidor, comprueba los registros anteriores antes de instalar nada.