Mail server aziendali su Linux: Exim, Dovecot e deliverability

La posta elettronica sembra scontata finché non smette di arrivare. Un mail server mal configurato spedisce i tuoi preventivi in spam, blocca allegati legittimi o perde messaggi durante una migrazione fatta di fretta. Configuriamo e gestiamo mail server su Linux con Exim e Dovecot, curando l’unica cosa che conta davvero: che le email partano, arrivino in inbox e restino tue. Configurazioni documentate, un referente unico, nessun vincolo che ti lega a noi.

Panoramica

Seguiamo la posta aziendale end-to-end: la scelta tra server dedicato e soluzione gestita, la configurazione di Exim per invio e ricezione e di Dovecot per IMAP e POP3, l’autenticazione del dominio, l’anti-spam e la migrazione delle caselle esistenti. Il focus è la deliverability: convincere Gmail, Outlook e gli altri grandi provider che i tuoi messaggi sono legittimi, e mantenerlo nel tempo.

La differenza rispetto al setup improvvisato sta nel dopo. La reputazione di un dominio si costruisce in mesi e si brucia in un pomeriggio: per questo leggiamo i report DMARC, teniamo d’occhio le blacklist e tocchiamo la configurazione solo con modifiche tracciate. Ti lasciamo record DNS spiegati riga per riga, caselle che amministri in autonomia e un sistema che chiunque, dopo di noi, può capire e mantenere.

Problemi tipici che risolviamo

• Le email aziendali finiscono in spam su Gmail e Outlook → sistemiamo e allineiamo SPF, DKIM e DMARC e verifichiamo la reputazione dell’IP di invio.
• Qualcuno usa il tuo dominio per phishing a tua insaputa → attiviamo DMARC con report, li leggiamo e chiudiamo chi spedisce a tuo nome.
• Una casella compromessa spedisce spam e l’IP finisce in blacklist → fermiamo l’abuso, ruotiamo le credenziali e seguiamo il delisting.
• La migrazione dal vecchio provider spaventa perché nessuno vuole perdere l’archivio → sincronizziamo via IMAP e spostiamo gli MX solo a copia verificata.
• Le email transazionali del gestionale o dell’e-commerce non arrivano → separiamo i flussi, autentichiamo l’invio e testiamo la consegna reale.
• L’anti-spam blocca clienti veri insieme allo spam → tariamo Rspamd con punteggi, whitelist e greylisting misurati sul tuo traffico.
• Il server di posta è una scatola nera configurata anni fa → lo documentiamo, aggiorniamo TLS e autenticazione e lo riportiamo sotto controllo.

Cosa include

• Setup del mail server: Exim per l’SMTP e Dovecot per IMAP e POP3, con caselle, alias, inoltri e quote su uno o più domini.
• Deliverability: record SPF, DKIM e DMARC configurati e allineati, monitoraggio della reputazione IP e test di consegna verso i provider principali.
• Anti-spam e anti-abuso: filtri con Rspamd o SpamAssassin, greylisting, rate limiting e regole che fermano lo spam in uscita prima che bruci la reputazione.
• TLS ovunque: cifratura su invio e ricezione con certificati Let’s Encrypt, cifrari aggiornati e configurazione conforme alle policy dei provider moderni.
• Migrazione email: inventario delle caselle, sincronizzazione IMAP senza perdita di messaggi e cutover degli MX pianificato, con rollback pronto.
• Gestione di domini e caselle: creazione, quote, backup della posta e webmail Roundcube quando serve l’accesso da browser.
• Documentazione e autonomia: record DNS spiegati, procedure scritte e credenziali in mano tua, così amministri le caselle senza dipendere da noi.

Stack e tecnologie

Il trasporto SMTP è affidato a Exim, l’accesso alle caselle a Dovecot, con archiviazione Maildir e account virtuali su file o database a seconda della scala. L’anti-spam è Rspamd nella maggior parte dei casi - firma DKIM in uscita, verifica in ingresso, greylisting e punteggi tarati sul traffico reale - con SpamAssassin dove è già in uso. L’autenticazione del dominio passa da SPF, DKIM e DMARC, con i report DMARC raccolti e interpretati per scoprire chi invia a tuo nome. Il TLS con certificati Let’s Encrypt cifra ogni connessione, e per l’accesso da browser integriamo Roundcube. I server girano su Debian e Ubuntu - su richiesta AlmaLinux, Rocky Linux o altre distribuzioni - ospitati su Google Cloud in prima scelta, su AWS o DigitalOcean in alternativa, oppure dal tuo provider attuale. Se un server tuo non conviene, configuriamo soluzioni gestite con la stessa cura sui record DNS.

Un esempio d’intervento

Uno studio tecnico ci ha contattati perché i preventivi inviati via email restavano senza risposta: molti clienti, quasi tutti su Microsoft 365, non li trovavano nemmeno nella cartella spam. L’audit ha mostrato un record SPF rotto da un servizio di newsletter aggiunto anni prima, nessuna firma DKIM e l’IP del server presente in una blacklist minore. Abbiamo corretto e allineato SPF, attivato la firma DKIM in Exim, pubblicato una policy DMARC in modalità monitoraggio e richiesto il delisting, verificando poi la consegna con caselle di prova sui provider principali. Nelle settimane successive i report DMARC hanno confermato l’allineamento degli invii legittimi e fatto emergere un mittente abusivo, bloccato irrigidendo la policy. Oggi lo studio sa che i preventivi arrivano, e ha una pagina di documentazione che spiega ogni record del suo DNS.

A chi si rivolge

• PMI e studi professionali che vogliono posta sul proprio dominio senza email disperse in spam.
• Agenzie e software house che gestiscono domini e caselle per i clienti e cercano un setup replicabile e documentato.
• Chi invia email transazionali o newsletter da gestionali, e-commerce o applicazioni, e ha problemi di consegna.
• Chi deve migrare da un vecchio server o da un provider senza rinunciare ad anni di archivio.

Come lavoriamo

Il primo passo è un audit di DNS, caselle e reputazione, da cui esce un quadro leggibile: cosa è rotto, cosa è a rischio e quanto costa sistemarlo. Poi decidiamo insieme tra server dedicato e soluzione gestita, senza spingerti verso l’opzione più comoda per noi. Configuriamo, sistemiamo la deliverability e la verifichiamo con test di consegna verso provider reali, non solo con validatori online. Le migrazioni seguono una finestra concordata: sincronizzazione prima, MX dopo, rollback sempre pronto. Copriamo dal lunedì al venerdì, 10:00-18:00: la posta bloccata è un P1, presa in carico entro un’ora lavorativa come da tempi di risposta. Per la gestione continuativa, i pacchetti ore non hanno scadenza.