Mail server: prečo je to ťažké a čo zvážiť

Nastavenie mail servera nie je technicky náročné — ťažké je dostať svoje e-maily do „Inboxu“ a nie do spamu a vyhnúť sa tichému odmietnutiu. Tento článok pokrýva to, čo musíš urobiť pred odoslaním prvého e-mailu.

Prečo je to samostatná úloha

Príjem e-mailov funguje takmer okamžite: nastavíš server, otvoríš port 25 a správy prichádzajú. Problém je odosielanie a má dve časti. Po prvé, odchádzajúce mailové porty sú na našej platforme štandardne zatvorené a otvárajú sa na vyžiadanie. Po druhé, prijímajúca strana (Gmail, Mail.ru, Yandex) kontroluje odosielateľa podľa niekoľkých kritérií a zlyhanie čo i len jedného z nich zmení správu na spam alebo odmietnutie.

Minimálne sa kontroluje toto:

Poradie nastavenia

1. Vyžiadaj odchádzajúce porty. Porty 25, 465 a 587 sú pre odchádzajúcu prevádzku zatvorené, kým ich neotvoríme na tvoju žiadosť. Začni tu: bez toho nemôžeš otestovať zvyšok, ako je popísané nižšie.
2. PTR. Reverzný DNS záznam sa musí zhodovať s názvom, ktorý server uvádza v SMTP. Nastav ho v paneli stroja na karte „Prístup“, napríklad mail.example.com, a vytvor zodpovedajúci dopredný A záznam smerujúci na adresu stroja.
3. Mailový stack. Najjednoduchšia možnosť je hotové kontajnerové riešenie — docker-mailserver alebo Mailcow. Nainštaluje sa cez Docker Compose a sám spustí Postfix, Dovecot, antispam a DKIM kľúče.
4. DNS. Vytvor MX záznam pre názov servera, potom SPF a DMARC:

example.com.        MX  10 mail.example.com.
example.com.        TXT "v=spf1 mx -all"
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:postmaster@example.com"

1. DKIM. Mail server vygeneruje kľúč; verejnú časť zverejníš ako TXT záznam <selector>._domainkey.example.com.
2. Overenie. Pošli e-mail na testovaciu službu (mail-tester, learndmarc) a snaž sa o plný počet bodov. Predtým neposielaj žiadne hromadné e-maily.

Odchádzajúce mailové porty sú štandardne zatvorené

Toto je hlavná vec, ktorú treba vedieť pred inštaláciou mail servera. Odchádzajúca prevádzka zo stroja na porty 25, 465 a 587 je na hostiteľovi blokovaná. Odosielanie e-mailov externe z nového stroja nefunguje a nezačne fungovať kvôli nastaveniam vnútri systému: pakety neopúšťajú jeho sieťové rozhranie.

Môžeš to overiť takto — spojenie sa nenadviaže:

nc -vz smtp.gmail.com 25

Robí sa to preto, lebo kompromitovaný stroj začne ako prvý rozosielať spam a všetci susedia na hostiteľovi musia zodpovedať za adresu a jej reputáciu. Nemá to vplyv na príjem e-mailov: prichádzajúce spojenia na 25, 465, 587 a 993 nie sú blokované a mail server prijíma správy okamžite.

Ako ich otvoriť

Porty sa otvárajú na vyžiadanie, manuálne a nie okamžite. V paneli na to nie je žiadne tlačidlo.

1. Napíš na podporu s číslom stroja (karta „Platba“, blok „Pre podporu“).
2. Opíš, čo posielaš: doména, povaha e-mailov, približný denný objem.
3. Počkaj na odpoveď. Kým sú porty zatvorené, môžeš mail server nainštalovať a nakonfigurovať — ale nemôžeš testovať odosielanie.

Hromadné rozosielanie na kúpené databázy sa neotvára pod žiadnym vysvetlením; pozri Čo môžeš a čo nemôžeš robiť na stroji.

Ak potrebuješ odosielať dnes a nie po niekoľkých výmenách správ, použi externý relay: mailová služba poskytne SMTP prihlásenie a prijíma spojenia na porte 2525 alebo cez API a port 25 nepotrebuješ.

Firewall vnútri stroja

Na svojej strane povoľ prichádzajúce spojenia na mailové porty:

sudo ufw allow 25/tcp
sudo ufw allow 587/tcp
sudo ufw allow 465/tcp
sudo ufw allow 993/tcp

Pravidlá ufw ovládajú len to, čo vstupuje do tvojho systému. Blokovanie odchádzajúcich portov 25, 465 a 587 je externé a ufw allow out ho neodstráni.

Nikdy nenechávaj otvorený relay. Over si to: swaks --to test@example.com --server <machine-address> z iného stroja bez autentifikácie — spojenie by malo byť odmietnuté. Otvorený relay zmení adresu stroja na zdroj spamu do jedného dňa a navždy zničí jej reputáciu.

Kedy nepotrebuješ vlastný mail server

• Potrebuješ len posielať notifikácie z aplikácie — použi externú odosielaciu službu. Je lacnejšia a má lepšiu doručiteľnosť. Pripoj sa k nej cez HTTP API alebo alternatívny port, napríklad 2525: štandardné porty 465 a 587 sú zatvorené rovnako ako 25.
• Potrebuješ e-mail na doméne pre ľudí — mail hosting vyrieši úlohu bez tvojho pričinenia.
• Nie si pripravený sledovať aktualizácie a frontu — opustený mail server sa stane bezpečnostnou dierou.

Vlastný server je opodstatnený, keď záleží na nezávislosti a si pripravený na údržbu: zálohy schránok sú povinné a na e-maily musíš vyčleniť miesto na disku s rezervou — pozri miesto na disku.