Безопасность

Что уже сделано, что стоит включить и чего делать нельзя.

Что включено по умолчанию

все соединения клиентов — по TLS: 993, 465, 587, 143 с обязательным STARTTLS;
сертификат Let's Encrypt, продление автоматическое;
fail2ban: баны за подбор пароля на SMTP, IMAP и ssh;
панель за паролем, сессия в HttpOnly-cookie, наружу только по https;
панель, милтеры и база слушают только 127.0.0.1;
лимиты отправки: взломанный ящик не разошлёт тысячи писем;
пароли панели и файлы ключей с правами 0600.

Включить вторым шагом

Второй фактор в «Настройках» панели, резервные коды — распечатать и убрать в сейф.
Сменить пароль панели после установки: он печатался в консоли и мог остаться в истории.
Запретить вход root по паролю: PasswordAuthentication no в sshd, только ключи.
Обновления: таймер стоит, но раз в месяц заглядывайте в релизы.
Бэкап наружу: копия на другом сервере спасает от потери диска и от шифровальщика.

Пароли ящиков

mailnode mailbox passwd ivan@example.ru 'длинный-пароль'

Минимальных требований узел не навязывает, но короче 12 символов ставить не стоит: fail2ban защищает от перебора, однако словарные пароли подбирают быстро.

Смена пароля не рвёт сессии IMAP Dovecot продолжит отдавать почту уже подключённым клиентам до переподключения. Если пароль украли, после смены перезапустите Dovecot: systemctl restart dovecot.

fail2ban

fail2ban-client status
fail2ban-client status postfix-sasl
fail2ban-client status dovecot
fail2ban-client set dovecot unbanip 1.2.3.4

Джейлы: sshd, postfix-sasl, dovecot, recidive (для повторных нарушителей — длинный бан).

Что не стоит делать

открывать наружу порты 8780, 8891, 11332 — это внутренние службы;
править конфиги в /etc руками: следующий render их затрёт;
хранить ключи DKIM в репозитории или в переписке;
ставить p=none в DMARC навсегда: политика без карантина почти ничего не даёт.

Проверка после установки

ss -lntp | grep -v 127.0.0.1        # снаружи только порты из списка на странице «Порты и сеть»
openssl s_client -connect mail.домен:993 -servername mail.домен </dev/null 2>&1 | grep "Verify return"
fail2ban-client status | head -12

Какие порты должны быть открыты — «Порты и сеть».

Если ящик взломали

Сменить пароль ящика.
Посмотреть очередь: mailq, удалить чужие письма postsuper -d ALL deferred.
Проверить журнал journalctl -u postfix --since "2 hours ago" | grep sasl_username — откуда шли отправки.
Проверить IP в чёрных списках через панель; при попадании — заявка на разбан.