Antes de rodar o seu próprio servidor de e-mail

Para a maioria das pessoas, rodar o próprio servidor de e-mail não é uma boa ideia. Instalar é fácil, e fazer suas mensagens chegarem à caixa de entrada é a parte difícil. Antes de começar, você deve conhecer quatro coisas: se a porta 25 de saída está aberta, o registro PTR (DNS reverso) do seu endereço IP, os seus registros SPF, DKIM e DMARC e a reputação do seu endereço IP.

Os grandes provedores de caixa de e-mail não confiam em mensagens de um servidor que não conhecem. Mesmo um servidor novo configurado corretamente pode cair no spam, simplesmente por não ter histórico. Além disso, o servidor precisa ficar no ar, ser mantido atualizado e ser monitorado contra abuso.

Quando faz sentido?

Rodar o próprio servidor faz sentido para aprender, para algumas caixas de e-mail em poucos domínios ou quando você quer os seus dados em suas próprias mãos. Não faz sentido se o seu negócio depende do e-mail, se você planeja envios em massa, como newsletters, ou se não tem tempo para acompanhar o servidor. Você também precisa fazer o backup das caixas de e-mail por conta própria, porque o e-mail recebido fica no disco do servidor.

Porta 25

• Os servidores de e-mail entregam mensagens uns aos outros pela porta 25. Para receber e-mail, a porta precisa estar aberta para conexões de entrada. Para enviar, precisa estar aberta para as de saída.
• Muitas redes e provedores restringem a porta 25 de saída para evitar abuso. Na Seturack ela também começa fechada em servidores novos, e você a abre pelo painel com um clique.
• Clientes de e-mail, como os de celular e o Thunderbird, usam as portas de envio (submission) 587 ou 465. Essas portas não servem para a entrega entre servidores.

Você pode testar a porta 25 de saída no seu próprio servidor assim. Se a saída for "25 open", a conexão pode ser feita:

timeout 5 bash -c 'exec 3<>/dev/tcp/gmail-smtp-in.l.google.com/25' && echo "25 open" || echo "25 closed"

Enviar e-mail em massa para pessoas que não pediram e montar infraestrutura para isso viola os termos de serviço da Seturack.

PTR, SPF, DKIM e DMARC

Os destinatários usam esses registros para conferir se uma mensagem realmente vem de você. Todos ficam no DNS. A maioria você define onde gerencia o seu domínio, mas o registro PTR é definido pelo dono do endereço IP. Descubra antes de fazer o pedido se o seu provedor permite definir um registro PTR para o seu servidor. Se o dig não estiver instalado, instale-o com sudo apt install -y dnsutils.

Segundo as diretrizes oficiais do Google para remetentes, todos os remetentes devem configurar SPF ou DKIM, o IP ou domínio de envio deve ter registros DNS direto e reverso (PTR) válidos, o e-mail deve usar TLS e a taxa de spam deve ficar abaixo de 0,3 por cento. Remetentes que enviam mais de 5.000 mensagens por dia para contas do Gmail devem ter os três: SPF, DKIM e DMARC.

Reputação do IP

Todo endereço IP tem um histórico. Se o endereço que você recebeu já foi usado para abuso, ele pode estar em listas de bloqueio públicas (DNSBLs). Consulte o seu endereço nessas listas antes de enviar. Um endereço novo não tem reputação. Ela se constrói com o tempo, quando você começa com volumes pequenos e envia e-mails regulares e esperados. Um grande pico repentino costuma queimar a imagem de um endereço novo de imediato.

Atenção ao IPv6

Se o seu servidor tem IPv6, o Postfix pode enviar e-mail de saída também por IPv6. O IPv6 precisa dos seus próprios registros PTR e SPF. Se você não os configurou, force o Postfix a usar IPv4. A documentação do Postfix diz que essa configuração exige reinício, e recarregar não basta:

sudo postconf -e "inet_protocols = ipv4"

sudo systemctl restart postfix

Recursos e manutenção

Postfix e Dovecot rodam com folga em um servidor pequeno. Pacotes prontos como o mailcow trazem também uma interface web, um filtro de spam e verificação de vírus. O requisito oficial do mailcow é de pelo menos 6 GiB de RAM mais 1 GiB de swap na configuração padrão. Existem outras opções, como Mail-in-a-Box e iRedMail. Seja qual for a sua escolha, atualizações, backups e monitoramento são trabalho seu.

Lista de verificação antes de enviar

1. A porta 25 de saída está aberta?
2. O registro PTR está definido e aponta de volta para o mesmo IP?
3. Os registros SPF, DKIM e DMARC estão publicados?
4. O certificado TLS é válido?
5. O endereço IP está em alguma lista de bloqueio?
6. Uma mensagem de teste para você mesmo caiu na caixa de entrada ou no spam?

Um jeito mais fácil

Para a maioria dos projetos, a configuração mais prática é enviar e-mails transacionais (redefinição de senha, avisos de pedido) por um serviço de entrega de e-mail e usar um serviço de caixa de e-mail hospedada para a sua caixa de entrada. O seu servidor só roda a sua aplicação, e a entrega do e-mail fica por conta de especialistas. Se mesmo assim você quiser rodar o seu próprio servidor, confira os registros acima antes de instalar qualquer coisa.