Posta

Il pannello include un servizio di posta facoltativo: caselle email sui domini dei siti, inoltri, risposta automatica, antispam, firma DKIM e una webmail che si apre dal pannello con un clic. Sotto il cofano lavorano Postfix (riceve e spedisce), Dovecot (conserva le caselle, IMAP e POP3), Rspamd (antispam e firma DKIM, con un piccolo Redis privato) e due webmail: Roundcube (quella predefinita) e SnappyMail.

Attivare la posta

Solo l'amministratore attiva il servizio. Finché è spento, la pagina Posta mostra «La posta non è attiva su questo server»: l'amministratore la attiva con un clic da Attiva la posta (con il nome proposto), mentre utenti e rivenditori leggono di chiedere all'amministratore. Per scegliere il nome e vedere prima i controlli usa Posta › Server di posta (o «Impostazioni e controlli»). Prima di attivarlo il pannello fa alcuni controlli e li spiega in chiaro:

Porta 25 in uscita: molti provider cloud (Vultr, Hetzner, AWS, Google Cloud) la bloccano. Con la porta chiusa il server riceve la posta ma non riesce a consegnarla agli altri server: serve un relay SMTP (vedi sotto) o lo sblocco da parte del provider.
DNS inverso (PTR) dell'indirizzo del server: deve restituire il nome del server di posta (per esempio mail.tuodominio.it). Se è diverso, Gmail e Outlook considerano sospetti i tuoi messaggi.
Nome del server di posta: deve puntare all'indirizzo del server (record A).
Liste nere (Spamhaus, Barracuda, SpamCop): se l'indirizzo è in lista, i messaggi in uscita vengono rifiutati. Spamhaus non risponde ai DNS pubblici: in quel caso il controllo risulta «non verificabile», che è normale.
Memoria: su un server da 2 GB la posta funziona, con Rspamd in modalità leggera (circa 150-250 MB per tutti i servizi di posta).

Scegli il nome del server di posta (il pannello propone mail.<nome del server>), decidi se attivare anche POP3 e premi Attiva la posta. L'installazione richiede qualche minuto e non tocca i siti. Il pannello apre le porte 25, 465, 587, 993 (e 995 con POP3) e quella della webmail, e attiva le protezioni fail2ban per la posta e l'IMAP.

Da riga di comando: sudo panel-agent setup mail -hostname mail.tuodominio.it. Gli aggiornamenti del pannello rinnovano la configurazione solo se il servizio è attivo.

Invio della posta: diretto o relay

In Server › Posta › Invio della posta scegli come escono i messaggi verso gli altri server:

Invio diretto (porta 25): il server consegna da sé. Serve che il provider non blocchi la porta 25 in uscita e che il DNS inverso (PTR) dell'indirizzo del server sia uguale al nome del server di posta. Esegui la diagnosi prova la porta 25 verso Gmail e Outlook, controlla il PTR (anche IPv6) e che il nome risolva di nuovo all'indirizzo, riconosce il provider e spiega cosa fare. Invia solo in IPv4 evita i rifiuti quando l'indirizzo IPv6 non ha un PTR.
Relay (smarthost): i messaggi passano da un servizio di invio. Scegli il servizio (Brevo, Mailgun, Amazon SES, SMTP2GO, Postmark, SendGrid o un altro): server, porta e include SPF si compilano da soli, tu inserisci utente e password del servizio. La connessione è sempre cifrata e la password resta leggibile solo da root sul server. Alcuni servizi chiedono anche di autenticare il dominio nel loro pannello.

Il record SPF suggerito per i domini segue la modalità: con il relay contiene l'include del servizio, con l'invio diretto l'indirizzo del server. Se un cambio di modalità non va a buon fine, torna quella precedente; dopo il cambio la coda riparte subito. La pagina Posta avvisa l'amministratore quando l'invio ha un problema.

Invia email di prova spedisce un messaggio con la modalità in uso e mostra la risposta del server del destinatario (o del relay): consegnato, rimandato o rifiutato, con il motivo. Con un relay usa come mittente un indirizzo autorizzato nel servizio.

La posta inoltrata a indirizzi esterni esce con un mittente riscritto (SRS), così non viene scartata per l'SPF del mittente originale.

Coda dei messaggi

La coda dei messaggi (amministratori) mostra i messaggi che il server non ha ancora consegnato, con tutti i destinatari e il motivo dell'attesa. Ritenta ora li rispedisce tutti subito, Svuota i messaggi in attesa li elimina.

Puoi anche lavorare su un messaggio alla volta:

cerca per mittente, destinatario o ID e filtra per stato (in attesa di riprovare, in invio, trattenuto);
Intestazioni mostra mittente, oggetto e le altre intestazioni del messaggio (mai il testo);
Riprova ora rispedisce solo quel messaggio; Trattieni lo tiene in coda senza inviarlo (per esempio mentre controlli un account che manda spam) e Rilascia lo rimette in invio;
l'icona del cestino lo elimina: non viene consegnato e il mittente non riceve avvisi.

Seleziona più messaggi con le caselle per farlo su tutti insieme.

Registro di consegna

Il registro di consegna dice che fine ha fatto ogni email: consegnata, in attesa (il server riprova), respinta (il server del destinatario l'ha rifiutata, per esempio perché la casella non esiste), scaduta (tornata al mittente dopo giorni di tentativi) o rifiutata all'arrivo (per esempio da una lista di blocco o dall'antispam). Accanto c'è la risposta del server e il server a cui è stata consegnata.

Chi gestisce un dominio lo trova nella scheda Consegne del dominio: vede solo le email inviate e ricevute da quel dominio.
Gli amministratori lo trovano anche nella pagina Posta, per tutti i domini del server.

Cerca un indirizzo, filtra per stato e scegli il periodo: dall'ultima ora agli ultimi 7 giorni.

Il DNS inverso (PTR)

Il PTR si imposta nel pannello del provider del server, non nel DNS del dominio:

Vultr: istanza › Settings › IPv4 › Reverse DNS. La porta 25 si sblocca con un ticket al supporto.
Hetzner: Cloud Console › server › Networking › Edit reverse DNS. La porta 25 si sblocca dopo il primo mese, da Limiti.
OVHcloud: spazio cliente › Network › IP › Modifica il reverse.

Su Vultr e Hetzner Cloud puoi farlo dal pannello: incolla la chiave API del provider in Imposta il DNS inverso con l'API e il pannello imposta il PTR al nome del server di posta e lo verifica. La chiave viene conservata (cifrata) solo se lo chiedi e non viene mai mostrata.

IP di invio per dominio

Se il server ha più indirizzi IP (IPv4 o IPv6), in Server › Posta › IP di invio scegli da quali può uscire la posta, quale usare normalmente (Predefinito) e, se vuoi, un nome HELO per indirizzo (vuoto: il nome del server di posta). Poi, in Posta › dominio › Impostazioni, ogni dominio può usare uno degli indirizzi abilitati. Lo sceglie l'amministratore.

Esce dall'indirizzo del dominio la posta inviata dalle sue caselle (SMTP, webmail) e quella dei siti in PHP: sia con il mittente del dominio sia con il mittente predefinito del sito.
Gli inoltri (riscritti con SRS a nome del server) e i messaggi di ritorno escono dall'indirizzo predefinito. La firma DKIM non cambia.
Un indirizzo IPv4 manda solo in IPv4; un indirizzo IPv6 manda in IPv6 e usa l'IPv4 predefinito verso i server senza IPv6. Con Invia solo in IPv4 gli indirizzi IPv6 non si possono scegliere.
Con un relay tutta la posta esce dal relay: gli indirizzi valgono quando torni all'invio diretto.
SPF: se il pannello gestisce il DNS del dominio, l'indirizzo viene aggiunto al record SPF (gli altri meccanismi restano); altrimenti il pannello mostra il record da impostare.
DNS inverso: ogni indirizzo deve avere come PTR il suo nome HELO, e quel nome deve puntare all'indirizzo. Il pannello lo controlla e, se manca, ti dice il valore esatto da chiedere al provider (il salvataggio non viene bloccato).

Con una migrazione da cPanel via SSH il pannello legge /etc/mailips e /etc/mailhelo: un dominio che usciva da un indirizzo che anche questo server ha lo mantiene; altrimenti usa il predefinito e il resoconto lo dice. Lo stesso vale per Sposta account tra server KoaPanel.

Certificato

Finché il nome del server di posta non punta al server, la posta usa un certificato autofirmato: la webmail funziona, i programmi di posta mostrano un avviso. Quando il nome punta qui e la porta 80 è raggiungibile, premi Richiedi certificato Let's Encrypt: si rinnova da solo.

Posta su un altro server

La posta di un account può stare su uno dei server collegati invece che qui, come i «mail node» di cPanel: per esempio un server dedicato alla posta per tutti i siti. Serve il pannello 0.79 o successivo su entrambi i server e la posta installata sul server di posta.

Chi lo decide: l'amministratore, nella finestra dell'account (Account, clic sul nome) alla voce Server di posta: Questo server oppure uno dei server collegati, poi Applica.
Cosa succede sul server di posta: il pannello crea un account con lo stesso nome, i siti dell'account (vuoti: niente file né database, servono solo alla posta, alias compresi) e attiva la posta sui domini che qui l'avevano già. I siti creati dopo arrivano da soli; quelli eliminati qui vengono tolti anche lì.
DNS: se il DNS dei domini è su questo pannello, MX, SPF, DKIM e autoconfig vengono presi dal server di posta e pubblicati da soli, con gli indirizzi di questo server aggiunti all'SPF (i siti continuano a mandare la loro posta da qui). Altrimenti la pagina Posta dell'account li mostra, da copiare dal provider DNS. Vengono riletti ogni 15 minuti, o subito con Aggiorna i record.
Per l'utente: la pagina Posta dice dove si trova la posta e con Apri la posta su … entra direttamente nel server di posta, senza un'altra password, in una sezione limitata alla sola posta (caselle, inoltri, risposte automatiche, antispam, webmail).
Sospensione ed eliminazione: sospendere l'account qui lo sospende anche sul server di posta; eliminarlo elimina anche l'account e la posta che stanno lì.
Limiti: le caselle che esistono già non vengono spostate. Un account con caselle o inoltri qui non può passare a un altro server (spostale prima, per esempio con la migrazione solo posta), e per riportare la posta qui il server di posta non deve averne più.

Attivare la posta su un dominio

In Posta premi Attiva la posta su un dominio e scegli il dominio di un sito (o un suo alias). Il pannello crea subito la chiave DKIM del dominio (2048 bit) e ti porta ai record DNS da pubblicare. I rivenditori gestiscono la posta dei loro account, gli utenti quella dei propri siti.

Caselle

Nuova casella: scegli l'indirizzo, lo spazio e la password: Genera una password sicura (la vedi una sola volta, con il pulsante per copiarla) oppure La scelgo io. Per ogni casella vedi lo spazio usato e il numero di messaggi, e puoi:

cambiare la password (le sessioni aperte nei programmi di posta vengono chiuse);
cambiare lo spazio e impostare un inoltro verso altri indirizzi, tenendo o no una copia;
disattivarla: continua a ricevere la posta ma nessuno può accedere;
aggiungere semplici filtri (sposta in una cartella, inoltra, elimina) in base a mittente, destinatario o oggetto;
eliminarla con tutti i messaggi.

Quando una casella supera il 75% e il 90% dello spazio riceve un avviso; quando è piena, i nuovi messaggi vengono rifiutati. I messaggi riconosciuti come spam finiscono nella cartella Spam (Junk).

I pacchetti possono limitare i domini di posta, il numero di caselle, lo spazio predefinito e quello massimo di una casella; la quota dei rivenditori può limitare le caselle di tutti i loro account.

Inoltri e alias

Nella scheda Inoltri crei indirizzi senza casella che girano la posta a uno o più indirizzi, anche esterni (per esempio vendite@ → mario@ e anna@). Le caselle di destinazione possono anche spedire con l'indirizzo dell'inoltro. Il prendi tutto (catch-all) riceve la posta per gli indirizzi inesistenti del dominio: è spento di norma perché attira molto spam.

Nota: la posta inoltrata verso indirizzi esterni esce con il mittente riscritto (SRS, vedi sopra), quindi non viene rifiutata per l'SPF del mittente originale. La firma DKIM del messaggio resta intatta, così passa anche i controlli DMARC.

Risposta automatica

Risposta automatica su una casella: oggetto, testo, date facoltative di inizio e fine e ogni quanti giorni rispondere allo stesso mittente. Non risponde ai messaggi automatici né alle liste di distribuzione.

Antispam del dominio

Nella scheda Antispam di un dominio di posta chi lo gestisce decide come vengono filtrate le email in arrivo:

Severità: spento, bassa, normale (il valore del server) o alta. Più è alta, più email dubbie vanno nello spam.
Cartella spam: di solito lo spam va nella cartella Spam; in alternativa resta nella posta in arrivo con «[SPAM]» nell'oggetto.
Mittenti sempre ammessi: indirizzi o domini (uno per riga) le cui email non finiscono mai nello spam.
Mittenti sempre rifiutati: indirizzi o domini le cui email vengono rifiutate all'arrivo.

Le impostazioni valgono per tutte le caselle del dominio, dalle prossime email in arrivo.

DNS posta: MX, SPF, DKIM e DMARC

La scheda DNS posta mostra i record da pubblicare, con i pulsanti per copiarli, e verifica cosa vedono i DNS pubblici:

MX: il dominio riceve la posta su questo server;
SPF (v=spf1 mx a ip4:… ~all): questo server può spedire per il dominio;
DKIM (panel._domainkey): la chiave pubblica con cui si verificano le firme dei messaggi;
DMARC (_dmarc): parte in sola osservazione (p=none); quando tutto funziona puoi passare a quarantine o reject;
autoconfig e autodiscover (facoltativi): configurazione automatica di Thunderbird e Outlook.

Se il dominio è su Cloudflare o 1PrimeCDN collegati, Configura DNS posta mostra le modifiche e poi le pubblica: un MX di un altro provider viene sostituito, una policy DMARC già presente non viene toccata.

Webmail

Webmail accanto a una casella apre la posta nel browser senza chiedere la password: il collegamento vale 60 secondi e si usa una volta sola. Il pannello non usa mai la password della casella né una password «master» comune a tutte: crea un accesso temporaneo valido solo per quella casella, per qualche ora.

Chi usa la casella può anche accedere da solo alla webmail (indirizzo https://<server>:8445/) con indirizzo completo e password. La pagina di accesso ha il nome e i colori del pannello. Da Roundcube può anche cambiare la propria password (Impostazioni › Password): serve quella attuale.

Sul server sono installate due webmail: Roundcube (predefinita: moderna e completa) e SnappyMail (leggera). L'amministratore sceglie quella predefinita in Server › Posta › Webmail: è quella che apre il pulsante Webmail e l'indirizzo https://<server>:8445/. L'altra resta a portata di mano: dal menu ··· di una casella, Apri con SnappyMail (o Apri con Roundcube). Gli indirizzi diretti sono https://<server>:8445/roundcube/ e https://<server>:8445/snappymail/.

Filtri e risposta automatica si impostano dal pannello (li applica il server anche con la webmail chiusa).

Programmi di posta

La scheda Programmi di posta riporta server, porte e sicurezza per Outlook, Thunderbird, Apple Mail e smartphone:

in entrata IMAP porta 993 SSL/TLS (e POP3 995 se attivo);
in uscita SMTP porta 465 SSL/TLS oppure 587 STARTTLS, con autenticazione;
nome utente: l'indirizzo completo.

Si può spedire solo con i propri indirizzi (e con gli inoltri che arrivano alla casella), solo dopo l'accesso e solo su connessione cifrata; ogni casella ha un limite di messaggi all'ora (Server di posta › Impostazioni) che blocca gli account violati.

Backup della posta

I backup dei siti salvano anche le caselle dei domini del sito, con messaggi, password, inoltri e impostazioni. Dalla scheda Backup del sito puoi ripristinare tutta la posta o una casella sola: tornano i messaggi mancanti senza toccare né duplicare quelli presenti, e una casella cancellata viene ricreata con la sua vecchia password.

Migrazione delle caselle

La migrazione importa anche le caselle email, se il servizio di posta è attivo:

backup di cPanel (e cPanel via SSH come root): le caselle vengono create con tutti i messaggi e con la password originale (cPanel conserva hash SHA512-CRYPT o MD5-CRYPT, che il server verifica così come sono), rispettando lo spazio che avevano;
backup di Plesk: le caselle vengono create; se la password nel backup è cifrata con la chiave del vecchio server, il pannello ne genera una nuova e la mostra nel riepilogo, una volta sola.

Se la posta è spenta quando migri, l'analisi lo segnala e l'amministratore può scegliere Attiva la posta e importa le caselle: il servizio viene installato durante l'importazione, prima delle caselle. Se le caselle sono già state saltate (migrazione fatta con la posta spenta), attiva la posta, apri il dettaglio della migrazione in Migrazione e premi Importa le caselle saltate: caselle e inoltri arrivano dallo stesso backup, senza toccare siti, file e database. Se il file di backup non c'è più, o la migrazione era via SSH, rifai la migrazione scegliendo Solo caselle email.

Dopo la migrazione pubblica i record MX, SPF e DKIM del dominio (scheda DNS posta) per ricevere la posta qui. Dalla migrazione SSH di un server Linux generico le caselle non vengono copiate: ricreale e usa un programma di posta per spostare i messaggi.