Puis-je héberger un serveur mail sur un serveur dédié offshore ?

Pourquoi le port 25 sortant est-il fermé sur les serveurs Ironatoll ?

Pour empêcher le spam de quitter le réseau. Le port 25 (SMTP) est bloqué pour le trafic sortant sur chaque serveur, par mesure anti-spam, et ce blocage est définitif. Les connexions sortantes vers les fournisseurs de messagerie sur les ports 465 et 587 fonctionnent normalement.

Le port 25 est celui par lequel les serveurs de messagerie se remettent le courrier entre eux ; les ports 587 et 465 sont ceux par lesquels les expéditeurs s'authentifient auprès de leur fournisseur. La RFC 6409 réserve le port 25 au relais serveur à serveur et réserve le port 587 à la soumission, avec une authentification requise par défaut. La RFC 8314 attribue le port 465 à la soumission avec TLS implicite : le chiffrement démarre dès l'ouverture de la connexion.

Le spam émis depuis des serveurs loués passe par le port 25. Le fermer protège la réputation de chaque adresse du réseau, y compris la vôtre. La règle est la même pour tous les serveurs et tous les plans.

Mon serveur dédié peut-il recevoir du courrier ?

Oui. Le blocage s'applique aux connexions que votre serveur ouvre, pas à celles que d'autres serveurs ouvrent vers lui. Faites pointer l'enregistrement MX de votre domaine vers votre serveur, et les autres serveurs de messagerie lui livreront le courrier sur le port 25.

Une pile typique sous Debian ou Ubuntu :

• Postfix reçoit le courrier et remet le courrier sortant au relais.
• Dovecot stocke les boîtes aux lettres et les sert en IMAP.
• Un filtre anti-spam et un signataire DKIM, comme rspamd ou OpenDKIM.
• Un webmail, si vos utilisateurs en veulent.

Le courrier est une donnée que vous ne pouvez pas reconstruire. Il n'y a pas de sauvegardes automatiques : tout fichier que vous devez conserver doit aussi exister quelque part sous votre contrôle.

Comment envoyer du courrier via un relais (smarthost) ?

Configurez votre serveur de messagerie pour remettre chaque message sortant à un relais auquel vous vous authentifiez. Le relais se charge ensuite de la livraison sur son propre port 25. Ironatoll garde les ports 465 et 587 ouverts vers les fournisseurs de messagerie pour cela.

Utilisez le service de soumission SMTP de votre fournisseur de messagerie, ou un relais transactionnel qui accepte votre domaine. Dans Postfix, le guide SASL officiel le configure en quelques lignes :

# /etc/postfix/main.cf
relayhost = [smtp.relay.example]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = lmdb:/etc/postfix/sasl_passwd
smtp_sasl_tls_security_options = noanonymous
smtp_tls_security_level = encrypt
# Port 465 instead: relayhost = [smtp.relay.example]:465
# plus smtp_tls_wrappermode = yes (Postfix 3.0 and later)

# /etc/postfix/sasl_passwd  (owned by root, mode 600)
[smtp.relay.example]:587    username:password

# Then: postmap /etc/postfix/sasl_passwd && systemctl reload postfix
# Some systems use hash: or cdb: instead of lmdb:

Que sont SPF, DKIM et DMARC, et en ai-je besoin ?

Oui : les destinataires utilisent les trois pour décider si le courrier provient réellement de votre domaine. Chacun est un enregistrement DNS.

• SPF (RFC 7208, avril 2014) liste les hôtes autorisés à envoyer du courrier pour votre domaine, dans un enregistrement TXT qui commence par v=spf1. Une vérification peut utiliser au maximum 10 requêtes DNS. Avec un relais, listez les hôtes du relais : votre serveur ne livre jamais directement.
• DKIM (RFC 6376, septembre 2011) signe chaque message dans un en-tête. La clé publique se trouve dans le DNS sous selector._domainkey.yourdomain. Signez sur votre serveur, ou laissez le relais signer.
• DMARC (RFC 9989, mai 2026) indique aux destinataires quoi faire du courrier qui échoue : p=none, quarantine ou reject. Le courrier passe lorsque SPF ou DKIM correspond au domaine de l'en-tête From.

DMARC est devenu une RFC de Standards Track en mai 2026 : la RFC 9989 remplace la RFC 7489, et les enregistrements commencent toujours par v=DMARC1.

example.com.                     MX   10 mail.example.com.
example.com.                     TXT  "v=spf1 include:_spf.relay.example -all"
mail2026._domainkey.example.com. TXT  "v=DKIM1; k=rsa; p=<public key>"
_dmarc.example.com.              TXT  "v=DMARC1; p=quarantine; rua=mailto:[email protected]"

Quels usages de la messagerie ne sont pas autorisés ?

Le courrier en masse et non sollicité n'est autorisé sur aucun serveur Ironatoll, via aucun port ni relais. Nos règles d'utilisation listent tout ce qui est interdit : Le spam et l'email de masse, le phishing, les malwares et le contrôle de botnets, les DDoS et autres attaques, le scan ou le brute-force de systèmes appartenant à d'autres, les services de booter et de stresser, le carding et la fraude, le matériel d'abus sexuel sur enfants, le minage de cryptomonnaies et tout service destiné à des personnes ou entreprises sanctionnées sont interdits.

Les boîtes aux lettres personnelles et professionnelles conviennent, tout comme le courrier que vos propres applications envoient à leurs utilisateurs, par exemple les confirmations d'inscription ou les factures. La politique d'utilisation acceptable donne les règles complètes.

Un serveur offshore rend-il mon e-mail plus privé ?

Il garde vos boîtes aux lettres sur une machine que vous contrôlez, mais pas votre courrier en transit. Le courrier stocké repose sur vos propres disques, que vous pouvez chiffrer.

Chaque message que vous envoyez passe par le relais, qui peut le lire sauf s'il est chiffré de bout en bout. Le serveur de chaque destinataire en conserve sa propre copie. TLS sur les ports 465 et 587 protège le saut vers le relais, pas ce que le relais stocke. Ironatoll est exploité par DomaineGoat LLC, une société enregistrée au Panama, qui ne répond que de la loi panaméenne. Le datacenter de chaque serveur, de son côté, est soumis à la loi du pays où il se trouve.

Voir si votre hébergeur peut voir les données sur votre serveur, et ce qu'est un serveur dédié offshore.