Antes de executar o seu próprio servidor de e-mail

Para a maioria das pessoas, executar o próprio servidor de e-mail não é boa ideia. Instalá-lo é fácil, e fazer as mensagens chegarem à caixa de entrada é a parte difícil. Antes de começar, convém conhecer quatro coisas: se a porta 25 de saída está aberta, o registo PTR (DNS inverso) do seu endereço IP, os seus registos SPF, DKIM e DMARC, e a reputação do seu endereço IP.

Os grandes fornecedores de caixas de correio não confiam em e-mail de um servidor que não conhecem. Mesmo um servidor novo bem configurado pode cair no spam, simplesmente por não ter histórico. Além disso, o servidor tem de se manter no ar, atualizado e vigiado quanto a abusos.

Quando faz sentido?

Ter o seu próprio servidor faz sentido para aprender, para algumas caixas de correio em poucos domínios, ou quando quer os seus dados nas suas mãos. Não faz sentido se o seu negócio depende do e-mail, se planeia envios em massa como newsletters, ou se não tem tempo para vigiar o servidor. Também tem de fazer por si as cópias de segurança das caixas de correio, porque o correio recebido fica no disco do servidor.

Porta 25

• Os servidores de e-mail entregam correio uns aos outros na porta 25. Para receber correio, a porta tem de estar aberta para ligações de entrada. Para enviar, tem de estar aberta para as de saída.
• Muitas redes e fornecedores restringem a porta 25 de saída para evitar abusos. Na Seturack, também começa fechada nos servidores novos, e abre-a a partir do painel com um clique.
• Os clientes de e-mail, como os telemóveis e o Thunderbird, usam as portas de submissão 587 ou 465. Estas portas não servem para a entrega entre servidores.

Pode testar a porta 25 de saída no seu próprio servidor assim. Se o resultado for «25 open», a ligação consegue ser feita:

timeout 5 bash -c 'exec 3<>/dev/tcp/gmail-smtp-in.l.google.com/25' && echo "25 open" || echo "25 closed"

Enviar e-mail em massa a quem não o pediu, e montar infraestrutura para isso, viola os termos de serviço da Seturack.

PTR, SPF, DKIM e DMARC

Os destinatários usam estes registos para verificar que uma mensagem vem mesmo de si. Todos eles vivem no DNS. A maioria define-se onde gere o seu domínio, mas o registo PTR é definido pelo titular do endereço IP. Antes de encomendar, descubra se o seu fornecedor lhe deixa definir um registo PTR para o seu servidor. Se o dig não existir, instale-o com sudo apt install -y dnsutils.

Segundo as diretrizes oficiais da Google para remetentes, todos os remetentes têm de configurar o SPF ou o DKIM, o IP ou o domínio de envio tem de ter registos DNS direto e inverso (PTR) válidos, o correio tem de usar TLS e a taxa de spam tem de ficar abaixo de 0,3 por cento. Os remetentes que enviam mais de 5000 mensagens por dia para contas Gmail têm de ter os três: SPF, DKIM e DMARC.

Reputação do IP

Cada endereço IP tem um historial. Se o endereço que lhe foi atribuído já foi usado para abusos, pode estar em listas de bloqueio públicas (DNSBL). Procure o seu endereço nessas listas antes de enviar. Um endereço novo não tem reputação. Ela constrói-se com o tempo, se começar com volumes pequenos e enviar correio regular e esperado. Um grande pico repentino faz, normalmente, um endereço novo parecer logo mau.

Atenção ao IPv6

Se o seu servidor tem IPv6, o Postfix também pode enviar o correio de saída por IPv6. O IPv6 precisa dos seus próprios registos PTR e SPF. Se não os configurou, force o Postfix a usar IPv4. A documentação do Postfix diz que esta definição exige um reinício, e recarregar não chega:

sudo postconf -e "inet_protocols = ipv4"

sudo systemctl restart postfix

Recursos e manutenção

O Postfix e o Dovecot correm à vontade num servidor pequeno. Os pacotes prontos, como o mailcow, trazem também uma interface web, um filtro de spam e análise de vírus. O requisito oficial do mailcow é de pelo menos 6 GiB de RAM mais 1 GiB de swap na configuração predefinida. Existem outras opções, como o Mail-in-a-Box e o iRedMail. Seja qual for a escolha, as atualizações, as cópias de segurança e a monitorização são consigo.

Lista de verificação antes de enviar

1. A porta 25 de saída está aberta?
2. O registo PTR está definido e resolve de volta para o mesmo IP?
3. Os registos SPF, DKIM e DMARC estão publicados?
4. O certificado TLS é válido?
5. O endereço IP está em alguma lista de bloqueio?
6. Uma mensagem de teste para si próprio foi parar à caixa de entrada ou ao spam?

Uma forma mais fácil

Para a maioria dos projetos, a configuração mais prática é enviar o correio transacional (reposições de palavra-passe, notificações de encomendas) através de um serviço de entrega de e-mail, e usar um serviço de caixa de correio alojada para a sua caixa de entrada. O seu servidor só executa a sua aplicação, e a entrega do correio fica nas mãos de especialistas. Se mesmo assim quiser executar o seu próprio servidor, verifique os registos acima antes de instalar seja o que for.