Перш ніж запускати власний поштовий сервер

Для більшості людей власний поштовий сервер — не найкраща ідея. Встановити його легко, а складно домогтися, щоб ваші листи потрапляли у вхідні. Перш ніж починати, треба знати про чотири речі: чи відкритий вихідний порт 25, запис PTR (зворотний DNS) вашої IP-адреси, записи SPF, DKIM і DMARC та репутацію вашої IP-адреси.

Великі поштові сервіси не довіряють пошті з невідомого їм сервера. Навіть правильно налаштований новий сервер може потрапляти в спам, просто бо в нього немає історії. До того ж сервер має працювати без перерв, вчасно оновлюватися, і за ним треба стежити через зловживання.

Коли це має сенс?

Власний сервер має сенс для навчання, для кількох поштових скриньок на кількох доменах або коли ви хочете тримати дані у власних руках. Він не має сенсу, якщо ваш бізнес залежить від пошти, якщо ви плануєте масові розсилки, як-от інформаційні листи, або якщо не маєте часу стежити за сервером. Скриньки також доведеться резервувати самостійно, адже вхідна пошта лежить на диску сервера.

Порт 25

• Поштові сервери доставляють пошту один одному через порт 25. Щоб отримувати пошту, порт має бути відкритий для вхідних з’єднань. Щоб надсилати — для вихідних.
• Багато мереж і провайдерів обмежують вихідний порт 25, щоб запобігти зловживанням. У Seturack на нових серверах він теж спочатку закритий, а відкрити його можна в панелі одним кліком.
• Поштові клієнти, як-от телефони й Thunderbird, використовують порти подання 587 або 465. Ці порти не можна використовувати для доставки між серверами.

Вихідний порт 25 можна перевірити на власному сервері так. Якщо виведено «25 open», з’єднання встановити можна:

timeout 5 bash -c 'exec 3<>/dev/tcp/gmail-smtp-in.l.google.com/25' && echo "25 open" || echo "25 closed"

Надсилання масової пошти людям, які її не просили, і створення для цього інфраструктури порушує умови користування Seturack.

PTR, SPF, DKIM і DMARC

Одержувачі за цими записами перевіряють, що лист справді надійшов від вас. Усі вони містяться в DNS. Більшість із них ви задаєте там, де керуєте доменом, але запис PTR визначає власник IP-адреси. Ще до замовлення з’ясуйте, чи дозволяє ваш провайдер задати запис PTR для вашого сервера. Якщо dig немає, встановіть його командою sudo apt install -y dnsutils.

Згідно з офіційними рекомендаціями Google для відправників, усі відправники повинні налаштувати SPF або DKIM, IP-адреса чи домен відправлення мають мати чинні прямий і зворотний (PTR) записи DNS, пошта має використовувати TLS, а частка спаму має залишатися нижчою за 0,3 відсотка. Відправники, які надсилають на облікові записи Gmail понад 5000 листів на день, повинні налаштувати всі три: SPF, DKIM і DMARC.

Репутація IP-адреси

Кожна IP-адреса має історію. Якщо адресу, яку вам видали, раніше використовували для зловживань, вона може бути в публічних чорних списках (DNSBL). Перш ніж надсилати, перевірте свою адресу за цими списками. У нової адреси репутації немає. Вона накопичується з часом, якщо починати з невеликих обсягів і надсилати регулярну, очікувану пошту. Раптовий великий сплеск зазвичай одразу псує вигляд нової адреси.

Обережно з IPv6

Якщо у вашого сервера є IPv6, Postfix може надсилати вихідну пошту й через IPv6. IPv6 потребує власних записів PTR і SPF. Якщо ви їх не налаштували, примусово переведіть Postfix на IPv4. Документація Postfix каже, що ця зміна потребує перезапуску, а перезавантаження конфігурації недостатньо:

sudo postconf -e "inet_protocols = ipv4"

sudo systemctl restart postfix

Ресурси та обслуговування

Postfix і Dovecot комфортно працюють на невеликому сервері. Готові пакети на кшталт mailcow додатково мають вебінтерфейс, спам-фільтр і антивірусну перевірку. Офіційна вимога mailcow — щонайменше 6 GiB RAM плюс 1 GiB swap у типовій конфігурації. Є й інші варіанти, як-от Mail-in-a-Box та iRedMail. Що б ви не обрали, оновлення, резервні копії та моніторинг — ваша справа.

Контрольний список перед надсиланням

1. Чи відкритий вихідний порт 25?
2. Чи задано запис PTR і чи він визначається в ту саму IP-адресу?
3. Чи опубліковано записи SPF, DKIM і DMARC?
4. Чи чинний сертифікат TLS?
5. Чи не потрапила IP-адреса в чорний список?
6. Чи потрапив тестовий лист самому собі у вхідні, чи в спам?

Простіший шлях

Для більшості проєктів найпрактичніше надсилати транзакційну пошту (скидання паролів, сповіщення про замовлення) через службу доставки пошти, а для вхідної пошти користуватися послугою поштових скриньок від провайдера. Ваш сервер лише запускає застосунок, а доставку пошти лишає фахівцям. Якщо ви все одно хочете запустити власний сервер, перед встановленням перевірте наведені вище записи.