Prima di gestire un tuo server di posta

Per la maggior parte delle persone gestire un proprio server di posta non è una buona idea. Installarlo è facile, far arrivare i messaggi nella casella di posta è la parte difficile. Prima di cominciare devi conoscere quattro cose: se la porta 25 in uscita è aperta, il record PTR (DNS inverso) del tuo indirizzo IP, i tuoi record SPF, DKIM e DMARC e la reputazione del tuo indirizzo IP.

I grandi provider di posta non si fidano della posta che arriva da un server che non conoscono. Anche un nuovo server configurato correttamente può finire nello spam, semplicemente perché non ha storia. Inoltre il server deve restare acceso, aggiornato e tenuto sotto controllo contro gli abusi.

Quando ha senso?

Gestire un proprio server ha senso per imparare, per poche caselle su una manciata di domini o quando vuoi i tuoi dati nelle tue mani. Non ha senso se la tua attività dipende dalla posta, se prevedi invii di massa come le newsletter o se non hai tempo di tenere d'occhio il server. Inoltre devi fare tu il backup delle caselle, perché la posta in arrivo sta sul disco del server.

Porta 25

• I server di posta si consegnano la posta a vicenda sulla porta 25. Per ricevere posta, la porta deve essere aperta alle connessioni in entrata. Per inviarla, deve essere aperta a quelle in uscita.
• Molte reti e provider limitano la porta 25 in uscita per prevenire gli abusi. Su Seturack sui nuovi server parte chiusa anche da noi, e la apri dal pannello con un clic.
• I client di posta come i telefoni e Thunderbird usano le porte di invio 587 o 465. Queste porte non si possono usare per la consegna tra server.

Puoi provare la porta 25 in uscita sul tuo server così. Se l'output è "25 open", la connessione è possibile:

timeout 5 bash -c 'exec 3<>/dev/tcp/gmail-smtp-in.l.google.com/25' && echo "25 open" || echo "25 closed"

Inviare email di massa a chi non le ha richieste, e costruire un'infrastruttura per farlo, viola i termini di servizio di Seturack.

PTR, SPF, DKIM e DMARC

I destinatari usano questi record per verificare che un messaggio arrivi davvero da te. Stanno tutti nel DNS. La maggior parte li imposti dove gestisci il dominio, ma il record PTR lo definisce il proprietario dell'indirizzo IP. Prima di ordinare, scopri se il tuo provider ti lascia impostare un record PTR per il tuo server. Se manca dig, installalo con sudo apt install -y dnsutils.

Secondo le linee guida ufficiali di Google per i mittenti, tutti i mittenti devono configurare SPF o DKIM, l'IP o il dominio di invio deve avere record DNS diretto e inverso (PTR) validi, la posta deve usare TLS e la percentuale di spam deve restare sotto lo 0,3 percento. I mittenti che inviano più di 5.000 messaggi al giorno ad account Gmail devono avere tutti e tre: SPF, DKIM e DMARC.

Reputazione dell'IP

Ogni indirizzo IP ha una storia. Se l'indirizzo che ti è stato assegnato è stato usato in modo abusivo in passato, potrebbe trovarsi in blocklist pubbliche (DNSBL). Cerca il tuo indirizzo in quelle liste prima di inviare. Un indirizzo nuovo non ha reputazione. La costruisce col tempo se parti con volumi piccoli e invii posta regolare e attesa. Un'improvvisa raffica di invii di solito fa subito una brutta impressione su un indirizzo nuovo.

Attenzione a IPv6

Se il tuo server ha IPv6, Postfix può inviare la posta in uscita anche su IPv6. IPv6 ha bisogno di record PTR e SPF propri. Se non li hai configurati, forza Postfix su IPv4. La documentazione di Postfix dice che questa impostazione richiede un riavvio e un reload non basta:

sudo postconf -e "inet_protocols = ipv4"

sudo systemctl restart postfix

Risorse e manutenzione

Postfix e Dovecot girano senza problemi su un piccolo server. Anche i pacchetti già pronti come mailcow portano un'interfaccia web, un filtro antispam e la scansione antivirus. Il requisito ufficiale di mailcow è di almeno 6 GiB di RAM più 1 GiB di swap nella configurazione predefinita. Esistono anche altre opzioni, come Mail-in-a-Box e iRedMail. Qualunque tu scelga, aggiornamenti, backup e monitoraggio sono compito tuo.

Checklist prima di inviare

1. La porta 25 in uscita è aperta?
2. Il record PTR è impostato e si risolve di nuovo nello stesso IP?
3. I record SPF, DKIM e DMARC sono pubblicati?
4. Il certificato TLS è valido?
5. L'indirizzo IP è in qualche blocklist?
6. Un messaggio di prova inviato a te stesso è finito nella posta in arrivo o nello spam?

Un modo più semplice

Per la maggior parte dei progetti la soluzione più pratica è inviare la posta transazionale (reimpostazione password, notifiche d'ordine) tramite un servizio di invio email e usare un servizio di caselle ospitate per la tua posta in arrivo. Il tuo server esegue solo la tua applicazione e la consegna della posta resta agli specialisti. Se vuoi comunque gestire il tuo server, controlla i record qui sopra prima di installare qualsiasi cosa.