E-Mails vom VPS versenden, SMTP-Versanddienst über 587 und 465 anbinden

Versanddienst wählen

Es gibt zwei Arten von Versanddiensten: Transaktions-Maildienste, die Benachrichtigungen von Websites und Apps in großen Mengen versenden, und die SMTP-Funktion Ihres bestehenden Firmen- oder privaten E-Mail-Kontos. In beiden Fällen sind Sie mit den folgenden vier Angaben bereit.

• SMTP-Serveradresse: zum Beispiel smtp.example.com
• Port: 587 (STARTTLS) oder 465 (SSL/TLS)
• Benutzername: die vom Dienst vergebene Kennung oder E-Mail-Adresse
• Passwort: das SMTP-Passwort oder der API-Key des Dienstes

Für Shops oder Dienste mit hohem Versandvolumen ist ein Transaktions-Maildienst bequem, da er auch Versandprotokolle, Bounce-Verarbeitung und Abmeldungen verwaltet. Für ein paar Benachrichtigungen genügt das SMTP Ihres E-Mail-Kontos.

SMTP-Verbindung vom Server prüfen

Prüfen Sie vor der Konfiguration, ob der Server den Versanddienst erreicht. Die folgenden Befehle prüfen nur die Verbindung und senden keine E-Mail.

nc -vz smtp.example.com 587
openssl s_client -starttls smtp -connect smtp.example.com:587 -crlf -quiet
openssl s_client -connect smtp.example.com:465 -crlf -quiet

Zeigt die erste Zeile succeeded oder open und der openssl-Befehl einen Server-Gruß, der mit 220 beginnt, sind Sie bereit. Mit Strg+C verlassen. Fehlt der Befehl nc, installieren Sie ihn unter Ubuntu und Debian mit apt install -y netcat-openbsd, unter AlmaLinux mit dnf install -y nmap-ncat.

Postfix mit dem Versanddienst verbinden

Möchten Sie E-Mails von Programmen, cron-Benachrichtigungen und dem Befehl mail an einer Stelle bündeln, richten Sie Postfix als Relay ein, das an den Versanddienst übergibt. Alle E-Mails des Servers gehen dann angemeldet über Port 587 hinaus.

Schritt 1. Installation

apt install -y postfix libsasl2-modules mailutils

Werden Sie bei der Installation nach der Art der Mail-Konfiguration gefragt, wählen Sie Internet Site und geben als Mail-Namen Ihre Domain ein. Unter AlmaLinux 10 installieren Sie mit dnf install -y postfix cyrus-sasl-plain s-nail und aktivieren mit systemctl enable --now postfix.

Schritt 2. Relay konfigurieren

postconf -e 'relayhost = [smtp.example.com]:587'
postconf -e 'smtp_sasl_auth_enable = yes'
postconf -e 'smtp_sasl_password_maps = texthash:/etc/postfix/sasl_passwd'
postconf -e 'smtp_sasl_security_options = noanonymous'
postconf -e 'smtp_tls_security_level = encrypt'
postconf -e 'inet_interfaces = loopback-only'

inet_interfaces = loopback-only nimmt nur E-Mails aus dem Server selbst an, damit niemand diesen Server von außen als Mail-Relay missbraucht.

Schritt 3. Zugangsdaten speichern

echo '[smtp.example.com]:587 SMTP_USER:SMTP_PASSWORD' > /etc/postfix/sasl_passwd
chmod 600 /etc/postfix/sasl_passwd
systemctl restart postfix

Nutzt Ihr Dienst Port 465, ändern Sie den Port in relayhost und sasl_passwd auf 465 und fügen eine weitere Zeile postconf -e 'smtp_tls_wrappermode = yes' hinzu.

Schritt 4. Testversand und Log prüfen

echo "VPS mail test" | mail -s "Test from VPS" you@example.com
postqueue -p
journalctl -t postfix/smtp -n 20

Steht im Log status=sent, hat der Versanddienst die E-Mail übernommen. postqueue -p zeigt die Liste noch nicht versendeter E-Mails. Haben Sie die Zugangsdaten korrigiert, senden Sie nach systemctl restart postfix mit postqueue -f erneut.

SMTP in WordPress und Apps einrichten

Die meisten Websites und Apps haben SMTP-Einstellungsfelder, sodass Sie ohne Postfix auf dem Server direkt mit dem Versanddienst verbinden können. In WordPress installieren Sie ein SMTP-Plugin und tragen die folgenden Werte ein, dann gehen Registrierungs- und Passwort-E-Mails über diesen Dienst.

• SMTP-Host: Adresse des Versanddienstes
• Verschlüsselung: bei 587 TLS (STARTTLS), bei 465 SSL
• Port: 587 oder 465
• Authentifizierung: aktivieren, Benutzername und Passwort eingeben
• Absenderadresse: eine Adresse Ihrer Domain (z. B. no-reply@example.com)

Auch Node.js-, PHP- und Python-Apps konfigurieren ihre Mail-Bibliothek mit denselben Werten. Schreiben Sie das Passwort nicht direkt in den Code, sondern legen Sie es in Umgebungsvariablen oder Konfigurationsdateien ab, das ist sauber. Die WordPress-Installation finden Sie in der Anleitung zur WordPress-Installation.

SPF, DKIM und DMARC im DNS der Domain eintragen

Der Empfangsserver prüft anhand von DNS-Einträgen, ob eine E-Mail wirklich von einer durch Ihre Domain erlaubten Stelle stammt. Mit diesen drei Einträgen steigt die Zustellrate in den Posteingang deutlich.

• SPF: die Liste der Server, die E-Mails Ihrer Domain senden dürfen. Tragen Sie den vom Versanddienst genannten include-Wert in einen TXT-Eintrag ein.
• DKIM: eine elektronische Signatur an der E-Mail. Tragen Sie den im Versanddienst erzeugten TXT- oder CNAME-Eintrag unverändert ein.
• DMARC: legt fest, wie mit E-Mails umgegangen wird, die bei SPF und DKIM durchfallen. Starten Sie zunächst wie folgt nur mit Berichten.

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Bestätigen die Berichte nach einigen Wochen, dass alle E-Mails bestehen, erhöhen Sie auf p=quarantine und dann auf p=reject, um Domain-Spoofing zu verhindern.

E-Mails empfangen und nächste Schritte

Um E-Mails an Ihre Domain zu empfangen, tragen Sie den MX-Eintrag eines Mail-Hosting-Dienstes in der Domain ein. Übernimmt das Mail-Hosting den Empfang und der Versanddienst die ausgehenden Benachrichtigungen, konzentriert sich der Server ganz auf Website und Apps.

Beim Versand über einen Versanddienst übertragen Sie bei Umzug oder Neuerstellung des Servers nur wenige Zeilen Konfiguration. Auch wenn sich die Server-IP ändert, bleibt die Versandreputation beim Dienst, und die Zustellrate schwankt auch beim Umzug der Website in eine andere Region nicht.

Andere Ports öffnen Sie frei nach Bedarf Ihres Dienstes. Wie Sie nur genutzte Ports öffnen, steht in der Anleitung zur Basis-Firewall, die Nutzungsregeln für Server in der Nutzungsrichtlinie.