Сертификат для почты

Сертификат шифрует соединение между почтовой программой и сервером. Phoenix Mail получает его сам через Caddy и сам продлевает. Руками обычно ничего делать не нужно.

Как это работает

Caddy, который обслуживает панель на порту 443, получает у Let's Encrypt сертификат на имя сервера, например mail.вашдомен.ru. Раз в час таймер mailnode-cert.timer копирует свежий сертификат в /etc/ssl/mailnode/ и подключает его к Postfix и Dovecot. Продление Caddy делает сам за месяц до окончания, почта подхватывает новый сертификат в течение часа.

Шаг 1. Проверьте адрес

Имя сервера должно указывать на ваш сервер — это A-запись из раздела «Записи DNS». Пока записи нет, Let's Encrypt сертификат не выдаст.

dig +short A mail.example.ru

Ответ должен совпадать с адресом сервера.

Шаг 2. Подключите сертификат

Обычно это уже сделал установщик. Если при установке DNS ещё не был настроен, подключите вручную:

1. В панели откройте вкладку Сертификат.
2. Нажмите Взять сертификат Let's Encrypt.
3. Если сертификат готов, на вкладке появятся пути к файлам и дата «Действует до». Если ответ «сертификат пока не выпущен, ждём Caddy» — подождите несколько минут, таймер подключит его сам.

То же из консоли:

mailnode tls caddy
mailnode tls show

Шаг 3. Проверьте

openssl s_client -connect mail.example.ru:993 -servername mail.example.ru </dev/null | grep "Verify return"

Должно быть Verify return code: 0 (ok).

Свой сертификат

Если сертификат выпущен в другом месте, укажите файлы явно:

mailnode tls set --cert /путь/fullchain.pem --key /путь/privkey.pem
mailnode render

Кнопка Подобрать автоматически и команда mailnode tls auto ищут сертификат certbot в /etc/letsencrypt/live/mail.вашдомен/. За продлением такого сертификата следите сами.