Serveur mail : pourquoi c'est difficile et ce qu'il faut prévoir

Configurer un serveur mail n’est pas techniquement difficile — le plus compliqué est de faire arriver vos e-mails dans la « Boîte de réception » plutôt que dans le spam, et d’éviter les rejets silencieux. Cet article couvre ce que vous devez faire avant d’envoyer votre premier e-mail.

Pourquoi c’est une tâche à part

La réception d’e-mails fonctionne presque immédiatement : vous configurez un serveur, ouvrez le port 25, et les messages arrivent. Le problème, c’est l’envoi, et il comporte deux volets. D’abord, les ports d’envoi sortants sont fermés par défaut sur notre plateforme et sont ouverts sur demande. Ensuite, le côté récepteur (Gmail, Mail.ru, Yandex) vérifie l’expéditeur selon plusieurs critères, et l’échec d’un seul d’entre eux transforme le message en spam ou en rejet.

Au minimum, les éléments suivants sont vérifiés :

Ordre de configuration

1. Demandez l’ouverture des ports sortants. Les ports 25, 465 et 587 sont fermés au trafic sortant tant qu’ils ne sont pas ouverts à votre demande. Commencez par là : sans cela, vous ne pouvez pas tester le reste, comme décrit ci-dessous.
2. PTR. L’enregistrement DNS inverse doit correspondre au nom que le serveur présente en SMTP. Définissez-le dans le panneau de la machine, dans l’onglet « Accès », par exemple mail.example.com, et créez un enregistrement A direct correspondant qui pointe vers l’adresse de la machine.
3. Pile mail. L’option la plus simple est une configuration conteneurisée prête à l’emploi — docker-mailserver ou Mailcow. Elle s’installe via Docker Compose et mettra en place Postfix, Dovecot, l’antispam et les clés DKIM elle-même.
4. DNS. Créez un enregistrement MX pour le nom du serveur, puis SPF et DMARC :

example.com.        MX  10 mail.example.com.
example.com.        TXT "v=spf1 mx -all"
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:postmaster@example.com"

1. DKIM. Le serveur mail génère la clé ; vous publiez la partie publique sous forme d’enregistrement TXT <selector>._domainkey.example.com.
2. Vérification. Envoyez un e-mail à un service de test (mail-tester, learndmarc) et visez un score complet. N’envoyez aucun envoi en masse avant cela.

Les ports d’envoi sortants sont fermés par défaut

C’est l’essentiel à savoir avant d’installer un serveur mail. Le trafic sortant de la machine vers les ports 25, 465 et 587 est bloqué sur l’hôte. L’envoi d’e-mails vers l’extérieur depuis une nouvelle machine ne fonctionne pas et ne se mettra pas à fonctionner à cause de réglages internes au système : les paquets ne quittent pas son interface réseau.

Vous pouvez le vérifier ainsi — la connexion ne s’établira pas :

nc -vz smtp.gmail.com 25

C’est fait parce qu’une machine compromise commence par envoyer du spam, et tous les voisins sur l’hôte doivent répondre de l’adresse et de sa réputation. Cela n’affecte pas la réception des e-mails : les connexions entrantes vers 25, 465, 587 et 993 ne sont pas bloquées, et le serveur mail accepte les messages immédiatement.

Comment les ouvrir

Les ports sont ouverts sur demande, manuellement, et pas instantanément. Il n’y a pas de bouton pour cela dans le panneau.

1. Écrivez au support avec le numéro de la machine (onglet « Paiement », bloc « Pour le support »).
2. Décrivez ce que vous envoyez : domaine, nature des e-mails, volume quotidien approximatif.
3. Attendez une réponse. Tant que les ports sont fermés, vous pouvez installer et configurer le serveur mail — mais vous ne pouvez pas tester l’envoi.

Les envois en masse vers des bases de données achetées ne sont ouverts sous aucune explication ; voir Ce que vous pouvez et ne pouvez pas faire sur une machine.

Si vous avez besoin d’envoyer aujourd’hui plutôt qu’après un aller-retour, utilisez un relais externe : un service mail fournit un identifiant SMTP et accepte les connexions sur le port 2525 ou via API, et le port 25 n’est pas nécessaire.

Pare-feu à l’intérieur de la machine

De votre côté, autorisez les connexions entrantes vers les ports mail :

sudo ufw allow 25/tcp
sudo ufw allow 587/tcp
sudo ufw allow 465/tcp
sudo ufw allow 993/tcp

Les règles ufw contrôlent uniquement ce qui entre dans votre système. Le blocage des ports sortants 25, 465 et 587 est externe, et ufw allow out ne le supprime pas.

Ne laissez jamais un relais ouvert. Vérifiez : swaks --to test@example.com --server <machine-address> depuis une autre machine sans authentification — la connexion doit être rejetée. Un relais ouvert transforme l’adresse de la machine en source de spam en une journée et détruit sa réputation pour toujours.

Quand vous n’avez pas besoin de votre propre serveur mail

• Vous avez seulement besoin d’envoyer des notifications depuis une application — utilisez un service d’envoi externe. C’est moins cher et la délivrabilité est meilleure. Connectez-vous-y via une API HTTP ou un port alternatif comme 2525 : les ports standard 465 et 587 sont fermés tout comme le 25.
• Vous avez besoin d’e-mails sur un domaine pour des personnes — un hébergement mail résoudra la tâche sans votre intervention.
• Vous n’êtes pas prêt à surveiller les mises à jour et la file d’attente — un serveur mail abandonné devient une faille de sécurité.

Votre propre serveur se justifie quand l’indépendance compte et que vous êtes prêt à la maintenance : les sauvegardes des boîtes mail sont obligatoires, et vous devez allouer de l’espace disque pour le mail avec une marge — voir espace disque.