Zabezpieczenie mailservera ISPConfig 3 certyfikatem Let’s Encrypt (SSL/TLS)

Ten poradnik pokazuje jak poprawnie zabezpieczyć serwer pocztowy zarządzany przez ISPConfig 3 przy użyciu darmowego certyfikatu Let’s Encrypt. Konfiguracja obejmuje Postfix (SMTP), Dovecot (IMAP/POP3) oraz panel ISPConfig.

Dlaczego SSL/TLS dla mailservera jest krytyczny?

Bez poprawnego TLS Twoja poczta będzie oznaczana jako spam, a dane użytkowników (loginy, hasła) mogą zostać przechwycone. Współczesne serwery wymagają szyfrowania:

• SMTP (port 25/587/465)
• IMAP (993)
• POP3 (995)

Wymagania

• ISPConfig 3 (Perfect Server)
• Poprawny DNS (A + MX + PTR)
• Port 80 dostępny (HTTP challenge)

1. Włączenie Let’s Encrypt w ISPConfig

W panelu ISPConfig przejdź:

• System → Server Config → Web → SSL → Let’s Encrypt = ON

2. Generowanie certyfikatu dla hostname

Upewnij się, że hostname (np. server1.twojadomena.pl) wskazuje na IP serwera.

certbot certonly --standalone -d server1.twojadomena.pl

3. Konfiguracja Postfix (SMTP TLS)

nano /etc/postfix/main.cf

smtpd_tls_cert_file = /etc/letsencrypt/live/server1.twojadomena.pl/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/server1.twojadomena.pl/privkey.pem
smtpd_use_tls = yes
smtpd_tls_auth_only = yes

4. Konfiguracja Dovecot (IMAP/POP3 TLS)

nano /etc/dovecot/conf.d/10-ssl.conf

ssl = yes
ssl_cert = </etc/letsencrypt/live/server1.twojadomena.pl/fullchain.pem
ssl_key = </etc/letsencrypt/live/server1.twojadomena.pl/privkey.pem

5. Restart usług

systemctl restart postfix
systemctl restart dovecot

6. Automatyczne odnawianie certyfikatu

crontab -e

0 3 * * * certbot renew --quiet && systemctl reload postfix dovecot

7. Test SSL

• https://www.ssllabs.com/ssltest/
• https://mxtoolbox.com

8. Dodatkowe zabezpieczenia (zalecane)

• SPF
• DKIM
• DMARC
• Reverse DNS (PTR)

9. Najczęstsze błędy

• Brak PTR
• Zły hostname
• Certyfikat nie pasuje do domeny
• Port 80 zablokowany

10. Wydajność i infrastruktura

Mailserver wymaga stabilnego środowiska – szczególnie pod kątem IO i CPU. Kluczowe elementy:

• Dysk NVMe
• Stałe IP
• Backup

Podsumowanie

Implementacja Let’s Encrypt w ISPConfig znacząco zwiększa bezpieczeństwo i reputację mailservera. To absolutna podstawa dla każdego środowiska produkcyjnego.