Voordat je een eigen mailserver draait

Voor de meeste mensen is een eigen mailserver geen goed idee. Installeren is makkelijk en je berichten in de inbox krijgen is het lastige deel. Voordat je begint, moet je vier dingen weten: of uitgaande poort 25 openstaat, het PTR-record (reverse DNS) van je IP-adres, je SPF-, DKIM- en DMARC-records en de reputatie van je IP-adres.

Grote mailboxproviders vertrouwen mail van een onbekende server niet. Zelfs een correct ingestelde nieuwe server kan in de spam belanden, simpelweg omdat hij geen geschiedenis heeft. Daarbovenop moet de server blijven draaien, up-to-date blijven en op misbruik worden bewaakt.

Wanneer is het zinvol?

Een eigen server is zinvol om te leren, voor een paar mailboxen op een handvol domeinen, of als je je gegevens zelf in handen wilt hebben. Het is niet zinvol als je bedrijf van e-mail afhankelijk is, als je bulkmail zoals nieuwsbrieven wilt versturen of als je geen tijd hebt om de server in de gaten te houden. Je moet de mailboxen ook zelf back-uppen, want binnenkomende mail staat op de schijf van de server.

Poort 25

• Mailservers bezorgen mail aan elkaar via poort 25. Om mail te ontvangen moet de poort openstaan voor inkomende verbindingen. Om te versturen moet hij openstaan voor uitgaande.
• Veel netwerken en providers beperken uitgaande poort 25 om misbruik te voorkomen. Bij Seturack staat hij op nieuwe servers ook eerst dicht, en je opent hem met één klik vanuit je paneel.
• Mailclients zoals telefoons en Thunderbird gebruiken de submissionpoorten 587 of 465. Deze poorten kunnen niet worden gebruikt voor bezorging tussen servers.

Zo test je uitgaande poort 25 op je eigen server. Is de uitvoer "25 open", dan kan de verbinding worden gemaakt:

timeout 5 bash -c 'exec 3<>/dev/tcp/gmail-smtp-in.l.google.com/25' && echo "25 open" || echo "25 closed"

Bulkmail versturen naar mensen die er niet om hebben gevraagd, en daarvoor infrastructuur opzetten, is in strijd met de gebruiksvoorwaarden van Seturack.

PTR, SPF, DKIM en DMARC

Ontvangers gebruiken deze records om te controleren of een bericht echt van jou komt. Ze staan allemaal in DNS. De meeste stel je in op de plek waar je je domein beheert, maar het PTR-record wordt bepaald door de eigenaar van het IP-adres. Zoek vóór het bestellen uit of je provider je een PTR-record voor je server laat instellen. Ontbreekt dig, installeer het dan met sudo apt install -y dnsutils.

Volgens de officiële afzenderrichtlijnen van Google moeten alle afzenders SPF of DKIM instellen, moet het verzendende IP of domein geldige forward- en reverse-DNS-records (PTR) hebben, moet mail TLS gebruiken en moet het spampercentage onder 0,3 procent blijven. Afzenders die meer dan 5.000 berichten per dag naar Gmail-accounts sturen, moeten alle drie hebben: SPF, DKIM en DMARC.

IP-reputatie

Elk IP-adres heeft een geschiedenis. Is het adres dat je kreeg eerder misbruikt, dan kan het op openbare blokkeerlijsten (DNSBL's) staan. Zoek je adres op die lijsten op voordat je gaat versturen. Een nieuw adres heeft geen reputatie. Die bouw je in de loop van de tijd op als je met kleine volumes begint en regelmatig verwachte mail verstuurt. Een plotselinge grote stroom doet een nieuw adres meestal meteen verdacht lijken.

Let op bij IPv6

Heeft je server IPv6, dan kan Postfix uitgaande mail ook via IPv6 versturen. IPv6 heeft eigen PTR- en SPF-records nodig. Heb je die niet ingesteld, dwing Postfix dan naar IPv4. Volgens de documentatie van Postfix vereist deze instelling een herstart en is een herlading niet genoeg:

sudo postconf -e "inet_protocols = ipv4"

sudo systemctl restart postfix

Resources en onderhoud

Postfix en Dovecot draaien prima op een kleine server. Kant-en-klare pakketten zoals mailcow brengen ook een webinterface, een spamfilter en virusscan mee. De officiële eis van mailcow is minstens 6 GiB RAM plus 1 GiB swap in de standaardconfiguratie. Er zijn ook andere opties, zoals Mail-in-a-Box en iRedMail. Welke je ook kiest, updates, back-ups en monitoring zijn jouw taak.

Checklist voordat je gaat versturen

1. Staat uitgaande poort 25 open?
2. Is het PTR-record ingesteld en wijst het terug naar hetzelfde IP?
3. Zijn de SPF-, DKIM- en DMARC-records gepubliceerd?
4. Is het TLS-certificaat geldig?
5. Staat het IP-adres op een blokkeerlijst?
6. Kwam een testbericht aan jezelf in de inbox of in de spam terecht?

Een makkelijkere manier

Voor de meeste projecten is het praktisch om transactionele mail (wachtwoordresets, bestelmeldingen) via een e-mailbezorgdienst te versturen en voor je inbox een gehoste mailboxdienst te gebruiken. Je server draait dan alleen je applicatie en het bezorgen van de mail laat je aan specialisten over. Wil je toch je eigen server draaien, controleer dan de bovenstaande records voordat je iets installeert.