Gestire il tuo server di posta: la checklist della deliverability

Cosa significa

Quando gestisci il tuo server di posta su un VPS o un server dedicato, nessuno si occupa per te di reputazione e configurazione. Gmail e Outlook non conoscono il tuo IP. Lo giudicano solo su ciò che possono verificare: nomi, record DNS, firme, crittografia e comportamento. Spesso basta un solo pezzo mancante per finire nello spam.

Perché è importante

Un IP nuovo non ha storia, quindi i destinatari sono severi con lui. Per chi usa Google Workspace o Microsoft 365 se ne occupano i grandi provider. Sul tuo server, ogni punto qui sotto è compito tuo.

Come verificare

Invia un'email dal server al tuo indirizzo di test nella home page (/). Il report copre in un colpo solo SPF, DKIM, DMARC, reverse DNS, blacklist e SpamAssassin. Usa /domain-scanner per la parte DNS e /blacklists per l'IP.

La checklist

1. La porta 25 è aperta in uscita

Molti hosting bloccano la porta 25 in uscita sui nuovi account. Controlla la loro documentazione e, se serve, chiedi all'assistenza di sbloccarla.

2. Un nome pulito e il reverse DNS

1. Scegli un nome come mail.yourdomain.com e crea un record A che punta all'IP del server.
2. Chiedi al tuo hosting di impostare il PTR (reverse DNS) dell'IP su quello stesso nome.
3. Usa lo stesso nome in Postfix:

   myhostname = mail.yourdomain.com

3. SPF

Aggiungi l'IP del server al tuo record SPF:

v=spf1 ip4:203.0.113.10 ~all

4. DKIM con OpenDKIM

1. Installa OpenDKIM e genera una chiave a 2048 bit:

   opendkim-genkey -b 2048 -d yourdomain.com -s mail

2. Pubblica il contenuto di mail.txt come record TXT su mail._domainkey.yourdomain.com.
3. Collegalo a Postfix in main.cf (la porta deve corrispondere al socket di OpenDKIM):

   smtpd_milters = inet:localhost:8891
   non_smtpd_milters = $smtpd_milters
   milter_default_action = accept

5. DMARC

Inizia in modalità monitoraggio con un record TXT su _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

6. Crittografia TLS

Ottieni un certificato (per esempio da Let's Encrypt) per mail.yourdomain.com, poi:

smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.yourdomain.com/privkey.pem
smtpd_tls_security_level = may
smtp_tls_security_level = may

7. Nessun open relay

Solo i tuoi utenti possono inviare tramite il server:

mynetworks = 127.0.0.0/8 [::1]/128
smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination

8. Buone abitudini

• Prima di iniziare, verifica che il tuo IP non sia in una blacklist.
• Aumenta il volume lentamente nel corso di diverse settimane.
• Leggi /var/log/mail.log per i messaggi di rifiuto: di solito spiegano il problema.
• Tieni il sistema aggiornato e usa password robuste per gli account delle caselle.

Dopo aver modificato main.cf, ricarica Postfix con postfix reload.

Verifica che sia risolto

Invia un nuovo test dal server all'indirizzo della home page. Ogni sezione deve passare: SPF e DKIM allineati con il tuo dominio, un reverse DNS corrispondente, nessuna blacklist e un punteggio di spam basso.