Préparer un VPS pour une messagerie privée qui distribue

01Séparer maîtrise de la boîte et distribution

L'auto-hébergement donne la maîtrise des messages stockés, comptes, durées de conservation et logiciels. Il vous confie aussi disponibilité, correctifs, filtrage et sauvegardes. Cela peut convenir à un domaine personnel ou une petite équipe, mais reste un service à entretenir.

La distribution vers les autres prestataires est un autre sujet. Les destinataires évaluent IP, historique du domaine, authentification, comportement et leurs propres règles. Une application fonctionnelle en local peut encore voir ses messages retardés, rejetés ou classés comme indésirables.

02Examiner l'adresse avant le déploiement

Une IP attribuée peut porter l'historique de ses utilisateurs précédents. Vérifiez réputation et listes de blocage pertinentes, puis examinez les résultats avant d'y installer la messagerie. L'absence d'inscription connue est un bon départ, pas la preuve d'une IP jamais utilisée ni une garantie de boîte de réception.

Demandez à l'hébergeur les règles du port 25 sortant, l'adresse dédiée et la possibilité de définir le DNS inverse. Root ne donne pas à lui seul la permission SMTP ni le contrôle de la zone PTR du fournisseur. Confirmez règles et capacités, y compris les restrictions IPv6.

03Utiliser l'authentification pour établir l'autorité du domaine

SPF publie les systèmes autorisés à envoyer pour le domaine d'enveloppe. Recensez tous les expéditeurs légitimes, respectez la limite de recherches DNS et testez avant une terminaison stricte comme -all. Les destinataires décident du traitement : SPF ne garantit automatiquement ni acceptation ni rejet.

DKIM signe certains en-têtes et le contenu avec une clé du domaine. Publiez la clé publique sous un sélecteur et protégez la clé de signature sur le serveur. Une signature valide démontre une signature autorisée et l'intégrité des éléments couverts, pas le caractère souhaité ou inoffensif du message.

04Aligner l'expéditeur visible avec DMARC

DMARC relie le domaine From visible à l'authentification. Un succès demande un résultat SPF aligné ou une signature DKIM alignée, et non la simple authentification d'un domaine sans rapport. Publiez une politique adaptée et examinez les rapports agrégés pour découvrir les expéditeurs légitimes oubliés.

Commencez par la surveillance si les chemins d'envoi sont incertains, puis passez à la quarantaine ou au rejet lorsque le trafic légitime est correctement aligné. Choisissez avec soin les adresses de rapports et leur conservation. Utilisez la documentation DMARC actuelle plutôt qu'une configuration historique copiée.

Les exemples DNS utilisent un domaine réservé et une adresse de documentation. Remplacez tout par votre domaine, votre IP et votre boîte de rapports ; ne les publiez pas tels quels.

example.invalid. TXT "v=spf1 ip4:203.0.113.45 -all"
_dmarc.example.invalid. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"

05Accorder DNS inverse et identité du serveur

L'IP de messagerie doit avoir un PTR vers un nom adapté, et ce nom doit résoudre vers la même IP. Configurez de façon cohérente le nom EHLO du serveur. Le fournisseur contrôle généralement les PTR : demandez leur réglage par sa procédure habituelle.

Publiez MX et adresses, configurez TLS et testez le renouvellement des certificats. Si vous envoyez en IPv6, évaluez séparément réputation et DNS inverse. N'activez pas un chemin d'envoi IPv6 simplement parce qu'il est inclus dans le VPS si vous ne pouvez pas le maintenir correctement.

06Sécuriser la messagerie avant de monter en volume

Choisissez une pile maintenue et exposez seulement les services utiles. Exigez l'authentification pour la soumission, empêchez le relais ouvert et utilisez TLS pour les clients. Testez avec plusieurs destinataires indépendants et examinez les résultats d'authentification et réponses de livraison.

Envoyez un volume modeste et attendu pour construire l'historique. Protégez les comptes, traitez les retours d'erreur et évitez les envois massifs non sollicités. Les enregistrements DNS et une IP non listée ne compensent pas un trafic abusif, un compte volé ou un domaine jugé douteux.

• Confirmez les permissions SMTP et le PTR avant l'installation.
• Testez l'alignement SPF, DKIM et DMARC sur des messages livrés.
• Vérifiez l'absence de relais ouvert.
• Contrôlez TLS client et renouvellement des certificats.
• Lisez les erreurs de livraison au lieu de renvoyer sans cesse.
• Maintenez des habitudes d'envoi légitimes et régulières.

07Comprendre le périmètre de confidentialité

Une inscription minimale et un paiement privé peuvent réduire les liens de facturation entre serveur et opérateur. Enregistrement de domaine, contacts, en-têtes et récupération de comptes peuvent créer d'autres liens. Examinez ces couches sans supposer que le compte d'hébergement définit toute la confidentialité.

L'auto-hébergement ne chiffre pas automatiquement l'email de bout en bout. TLS protège certaines connexions ; les contenus peuvent rester lisibles aux extrémités et dans des stockages intermédiaires. Utilisez des outils de bout en bout adaptés lorsque les correspondants en ont besoin, en tenant compte des métadonnées exposées par l'email.

08Prévoir exploitation et récupération

Mettez à jour le système et les logiciels, surveillez files d'attente et ressources, puis choisissez une durée raisonnable pour les diagnostics. Chiffrez les sauvegardes et incluez messages, configuration et clés de signature. Testez la restauration sans réémettre accidentellement les messages en attente.

Évaluez honnêtement la charge. Un domaine personnel peu actif peut être gérable, alors qu'un grand expéditeur demande davantage de supervision et de procédures. Qualité IP, contrôle root et réglages DNS forment la base ; l'entretien régulier préserve l'utilité du service.