Installer et configurer un serveur mail sécurisé sous Debian avec Postfix et Dovecot

Configurer le fichier main.cf de Postfix

• Créez le fichier /etc/postfix/main.cf et adaptez la configuration avec votre propre nom d’hôte et nom de domaine :

# See /usr/share/postfix/main.cf.dist for a commented, more complete version


# Debian specific:  Specifying a file name will cause the first
# line of that file to be used as the name.  The Debian default
# is /etc/mailname.
myorigin = /etc/mailname
myhostname = mail.std.rocks

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

# See http://www.postfix.org/COMPATIBILITY_README.html -- default to 3.6 on
# fresh installs.
compatibility_level = 3.6

# ---- TLS (server side, SMTP port 25) ----
# Opportunistic TLS on SMTP (port 25). This is the right default for MX traffic.
smtpd_tls_security_level=may

# Self-signed certs for now; swap to Let's Encrypt later.
smtpd_tls_cert_file= /etc/ssl/certs/mail-selfsigned.crt
smtpd_tls_key_file= /etc/ssl/private/mail-selfsigned.key

# Disable legacy protocols; allow TLSv1.2/1.3.
smtpd_tls_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1
smtpd_tls_mandatory_protocols = !SSLv2,!SSLv3,!TLSv1,!TLSv1.1

# Small, safe TLS hardening and visibility.
smtpd_tls_loglevel = 1
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache

# ---- TLS (client side, outbound) -----
smtp_tls_security_level=may
smtp_tls_CApath=/etc/ssl/certs
smtp_tls_loglevel = 1
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# ---- Relay policy ----
# Allow SASL-authenticated users to relay; reject others (prevents open relay).
smtpd_relay_restrictions = permit_sasl_authenticated, reject_unauth_destination

# ---- Local delivery & networking -----
mydestination = $myhostname, localhost.localdomain, localhost
relayhost = 
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
#recipient_delimiter = +
inet_interfaces = all
inet_protocols = all

# ---- Virtual domains & Dovecot LMTP ----
alias_maps = 
alias_database = 
virtual_mailbox_domains = std.rocks
virtual_alias_maps = hash:/etc/postfix/virtual
virtual_mailbox_base = /mails/
# IMPORTANT: verify recipients; use a map (hash/sql/ldap) or you'll accept unknown users.
# might be worth activating in the future:
# virtual_mailbox_maps = hash:/etc/postfix/virtual_mailbox
virtual_uid_maps = static:7200
virtual_gid_maps = static:7200
virtual_minimum_uid = 7200

# Hand off mail to Dovecot via LMTP (fast and robust).
virtual_transport = lmtp:unix:private/dovecot-lmtp

# ---- Authentication (SASL via Dovecot) ----
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
# Only allow AUTH over TLS (good hygiene).
smtpd_tls_auth_only = yes

# ---- SMTP hygiene (early rejections reduce spam and load) ----
# Require a proper HELO and do basic sender/recipient sanity checks.
smtpd_helo_required = yes
smtpd_recipient_restrictions = 
    reject_unauth_pipelining,
    reject_non_fqdn_sender,
    reject_non_fqdn_recipient,
    reject_unknown_sender_domain,
    reject_unknown_recipient_domain,
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination

# Hide user enumeration via SMTP VRFY.
disable_vrfy_command = yes

# ---- DKIM via milter ----
milter_default_action = accept
smtpd_milters = unix:opendkim/opendkim.sock
non_smtpd_milters = $smtpd_milters

# ---- Misc ----
# ~25 MB per message (reasonable default).
message_size_limit = 25480000

Configurer le fichier master.cf de Postfix

Le démon Postscreen agit comme première couche de sécurité pour les connexions de messagerie entrantes. Il écoute sur le port 25/tcp et effectue plusieurs vérifications préliminaires, telles que le contrôle de la réputation de l’adresse IP de l’expéditeur ou la détection d’adresses présentes sur des listes noires. Si toutes les vérifications sont réussies, Postscreen transmet la connexion au démon smtpd pour le traitement SMTP standard.

• Modifiez le fichier /etc/postfix/master.cf pour configurer les services actifs de Postfix :

# ========== Public SMTP (port 25) ==========
smtp      inet  n       -       y       -       1       postscreen
smtpd      pass  -       -       y       -       -       smtpd
#smtpd     pass  -       -       y       -       -       smtpd
dnsblog   unix  -       -       y       -       0       dnsblog
tlsproxy  unix  -       -       y       -       0       tlsproxy
# Choose one: enable submission for loopback clients only, or for any client.
#127.0.0.1:submission inet n -   y       -       -       smtpd

# ========== Submission (port 587) ==========
submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_tls_protocols=!SSLv2,!SSLv3,!TLSv1,!TLSv1.1
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_helo_required=yes
  -o milter_macro_daemon_name=ORIGINATING
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
  -o smtpd_client_restrictions=
# ========== SMTPS (port 465) ==========
smtps     inet  n       -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_tls_protocols=!SSLv2,!SSLv3,!TLSv1,!TLSv1.1
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_helo_required=yes
  -o milter_macro_daemon_name=ORIGINATING
  -o smtpd_relay_restrictions=permit_sasl_authenticated,reject
  -o smtpd_client_restrictions=

• Créez l’utilisateur virtuel vmail qui sera propriétaire de tous les répertoires et fichiers de messagerie :

root@debian:~# groupadd -g 7200 vmail

root@debian:~# useradd -r -u 7200 -g 7200 -d /mails -m -s /usr/sbin/nologin vmail

• Ajoutez votre nom de domaine dans le fichier /etc/mailname :

root@debian:~# echo "std.rocks" > /etc/mailname

• Générez un certificat SSL/TLS auto-signé pour sécuriser la transmission des e-mails :

root@debian:~# openssl req -new -x509 -days 365 -nodes \
  -out /etc/ssl/certs/mail-selfsigned.crt \
  -keyout /etc/ssl/private/mail-selfsigned.key \
  -subj "/C=US/ST=Washington/L=Seattle/O=std.rocks/OU=Mail/CN=mail.std.rocks"

root@debian:~# chmod 600 /etc/ssl/private/mail-selfsigned.key
root@debian:~# chown root:root /etc/ssl/private/mail-selfsigned.key

• Créez le répertoire principal /mails/std.rocks destiné à stocker toutes les boîtes aux lettres virtuelles, puis appliquez les bons droits d’accès :

root@debian:~# mkdir -p /mails/std.rocks
root@debian:~# chown -R vmail:vmail /mails/std.rocks

Installer Dovecot

• Installez les paquets nécessaires à Dovecot :

root@debian:~# apt update && apt install dovecot-imapd dovecot-lmtpd dovecot-core dovecot-sieve

Configurer Dovecot

• Lors de l’installation de Dovecot, plusieurs fichiers de configuration sont créés par défaut. Pour rendre la configuration plus claire et plus facile à maintenir, vous pouvez supprimer ces fichiers par défaut et créer un seul fichier de configuration centralisant tous les paramètres nécessaires.

root@debian:~# ls /etc/dovecot/conf.d/
10-auth.conf	 10-master.conf   15-lda.conf	     20-lmtp.conf	  90-fts.conf		     90-sieve.conf	   auth-oauth2.conf.ext      auth-static.conf.ext
10-logging.conf  10-metrics.conf  15-mailboxes.conf  30-dict-server.conf  90-quota.conf		     auth-deny.conf.ext    auth-passwdfile.conf.ext  auth-system.conf.ext
10-mail.conf	 10-ssl.conf	  20-imap.conf	     90-acl.conf	  90-sieve-extprograms.conf  auth-master.conf.ext  auth-sql.conf.ext

root@debian:~# rm /etc/dovecot/conf.d/*

• Créez ensuite le fichier principal de configuration à l’emplacement /etc/dovecot/conf.d/dovecot.conf :

#/etc/dovecot/conf.d/10-ssl.conf
ssl = yes
# Preferred permissions: root:root 0444
ssl_server_cert_file = /etc/dovecot/private/dovecot.pem
# Preferred permissions: root:root 0400
ssl_server_key_file = /etc/dovecot/private/dovecot.key

ssl_server_dh_file = /usr/share/dovecot/dh.pem

ssl_min_protocol = TLSv1.2
ssl_server_prefer_ciphers = client

#/etc/dovecot/conf.d/10-master.conf
protocols = lmtp imap

service lmtp {
        unix_listener /var/spool/postfix/private/dovecot-lmtp {
                mode = 0600
                user  = postfix
                group = postfix
        }
}

listen = 0.0.0.0
service imap-login {
        inet_listener imaps {
                port = 993
        }
        inet_listener imaps-v6 {
                port = 64993
                ssl = yes
        }
}
#Authentification postfix :
service auth {
  unix_listener /var/spool/postfix/private/auth {
    mode = 0666
    user = postfix
    group = postfix
  }
}

#/etc/dovecot/conf.d/auth-passwdfile.conf.ext
passdb passwd-file {
        driver = passwd-file
        passwd_file_path = /etc/dovecot/passwd
        auth_username_format = %{user | username}
}

userdb passwd-file {
        driver = passwd-file
        auth_username_format = %{user | username}
        passwd_file_path = /etc/dovecot/passwd
}

#sieve
protocol lmtp {
  mail_plugins = sieve
}
sieve_script personal {
  path = ~/.dovecot.sieve
}

#/etc/dovecot/conf.d/10-mail.conf
mail_driver = maildir
mail_home = /mails/%{user | domain}/%{user | username}
mail_path = %{home}/Maildir
mail_uid = vmail
mail_gid = vmail

# To further reduce iops on the metacache volume when using zlib or mail_crypt; point the dovecot temp directory to a tmpfs volume. Source : https://doc.dovecot.org/configuration_manual/os/
mail_temp_dir = /dev/shm/

• Créez le fichier /etc/dovecot/passwd, qui contiendra les informations d’authentification des utilisateurs :

root@debian:~# touch /etc/dovecot/passwd

• Appliquez ensuite les bonnes permissions afin de sécuriser ce fichier :

root@debian:~# chown root:dovecot /etc/dovecot/passwd
root@debian:~# chmod 640 /etc/dovecot/passwd

Créer un utilisateur de messagerie

Nous devons d’abord générer un mot de passe chiffré pour notre utilisateur de messagerie. Pour cela, nous allons utiliser la commande doveadm, qui intègre un utilitaire de hachage. Le mot de passe chiffré obtenu sera ensuite ajouté au fichier /etc/dovecot/passwd afin de définir les identifiants de l’utilisateur.

• Utilisez la commande doveadm pw pour générer le hachage de votre mot de passe (évitez d’utiliser un exemple aussi faible que le mien 😉), puis copiez le hachage obtenu :

root@debian:~# doveadm pw -s ARGON2ID
Enter new password:youWon'tfindMyPassWD
Retype new password:youWon'tfindMyPassWD
{ARGON2ID}$argon2id$v=19$m=65536,t=3,p=1$4IPe7Nj3kTZJ54f5sKnc0Q$1rIsKMMkz5wOeuIWZmHmk+aUBBvtiBAZTFtckKKsnfg

• Modifiez le fichier /etc/dovecot/passwd et ajoutez la ligne suivante pour créer l’utilisateur john@std.rocks :

john:{ARGON2ID}$argon2id$v=19$m=65536,t=3,p=1$4IPe7Nj3kTZJ54f5sKnc0Q$1rIsKMMkz5wOeuIWZmHmk+aUBBvtiBAZTFtckKKsnfg::::::

• Vous remarquerez les :::::: après le mot de passe chiffré. Ces champs sont optionnels, mais voici ce que chacun représente et comment les utiliser :

• username : le nom d’utilisateur — dans cet exemple, john.
• {ARGON2ID}$argon2id : le hachage du mot de passe généré avec la commande doveadm pw.
• UID:GID : (optionnel) les identifiants utilisateur et groupe Unix. Comme nous utilisons un système de messagerie virtuelle, nous pouvons définir 7200:7200.
• home : (optionnel) le chemin vers la boîte mail de l’utilisateur, par exemple /mails/std.rocks/john.
• shell : (optionnel) définit le shell de l’utilisateur, si nécessaire.
• extra_fields : (optionnel) permet d’ajouter des paramètres supplémentaires, tels que des quotas. Exemple : userdb_mail=maildir:/mails/%d/%n, userdb_quota_rule=*:storage=5G.

• Créez le fichier /etc/postfix/virtual pour définir les alias de messagerie :

root: john@std.rocks
letsencrypt@std.rocks john@std.rocks

root@debian:~# postmap /etc/postfix/virtual

Avant de créer les dossiers IMAP, il est utile de visualiser la correspondance entre les dossiers du client de messagerie — tel que Thunderbird — et la structure des répertoires sur notre serveur mail.

• Une fois la structure des dossiers visualisée, créez le répertoire principal pour l’utilisateur john :

root@debian:~# install -d -m 700 -o vmail -g vmail /mails/std.rocks/john

• Utilisez ensuite la commande maildirmake.dovecot pour créer la structure Maildir et ses sous-dossiers (Drafts, Sent, Trash et Junk) :

root@debian:~# sudo -u vmail maildirmake.dovecot /mails/std.rocks/john/Maildir
root@debian:~# sudo -u vmail maildirmake.dovecot /mails/std.rocks/john/Maildir/.Drafts
root@debian:~# sudo -u vmail maildirmake.dovecot /mails/std.rocks/john/Maildir/.Sent
root@debian:~# sudo -u vmail maildirmake.dovecot /mails/std.rocks/john/Maildir/.Trash
root@debian:~# sudo -u vmail maildirmake.dovecot /mails/std.rocks/john/Maildir/.Junk

• Redémarrez enfin les deux services afin d’appliquer la configuration :

root@debian:~# systemctl restart postfix.service
root@debian:~# systemctl restart dovecot.service

Générer les certificats SSL Let’s Encrypt

• Installez le paquet certbot :

root@debian:~# apt update && sudo apt install certbot

• Utilisez ensuite certbot pour demander vos certificats SSL. Remplacez mail.std.rocks par votre propre domaine de messagerie et letsencrypt@std.rocks par votre adresse e-mail d’administration :

root@debian:~# certbot certonly --standalone -d mail.std.rocks --email letsencrypt@std.rocks --agree-tos --noninteractive
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Requesting a certificate for mail.std.rocks

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/mail.std.rocks/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/mail.std.rocks/privkey.pem
This certificate expires on 2026-02-09.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
 * Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
 * Donating to EFF:                    https://eff.org/donate-le
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Intégrer les certificats Let’s Encrypt dans Dovecot et Postfix

• Modifiez le fichier /etc/postfix/main.cf et mettez à jour les chemins afin d’utiliser les certificats Let’s Encrypt à la place des certificats auto-signés :

# Self-signed certificates (previous configuration)
#smtpd_tls_cert_file = /etc/ssl/certs/mail-selfsigned.crt
#smtpd_tls_key_file = /etc/ssl/private/mail-selfsigned.key

# Let’s Encrypt certificates (active configuration)
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.std.rocks/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.std.rocks/privkey.pem

• Redémarrez ensuite le service Postfix afin d’appliquer la nouvelle configuration SSL :

root@debian:~# systemctl restart postfix.service

• Modifiez également le fichier /etc/dovecot/conf.d/dovecot.conf pour indiquer les chemins vers les fichiers de certificats et de clés Let’s Encrypt :

# Preferred permissions: root:root 0444
#ssl_server_cert_file = /etc/ssl/certs/fullchain.pem
ssl_server_cert_file = /etc/letsencrypt/live/mail.std.rocks/fullchain.pem

# Preferred permissions: root:root 0400
#ssl_server_key_file = /etc/ssl/private/privkey.pem
ssl_server_key_file = /etc/letsencrypt/live/mail.std.rocks/privkey.pem

• Redémarrez enfin le service Dovecot pour charger les certificats mis à jour :

root@debian:~# systemctl restart dovecot.service

Thunderbird

Dans la fenêtre de configuration du compte, cliquez sur Configurer manuellement afin de saisir les paramètres du serveur vous-même.

Configurez ensuite le compte avec votre nom d’utilisateur, votre mot de passe et le nom du serveur. Pour IMAP, vous pouvez également utiliser STARTTLS sur le port 143 si vous le souhaitez.

K-9 Mail

Sur Android, vous pouvez utiliser l’application K-9 Mail pour vous connecter à votre serveur de messagerie. Comme pour Thunderbird, remplacez les valeurs d’exemple par vos propres identifiants et paramètres de serveur. Lors de la dernière étape de configuration, associez manuellement les dossiers spéciaux — Envoyés, Brouillons, Indésirables et Corbeille — afin de garantir une synchronisation correcte.