Debian 上 Postman 邮件发送的安全实践
术语澄清与总体思路
- 此处的“Postman”通常指 Postfix（邮件传输代理 MTA）。若你确实是在桌面应用 Postman 里“发送邮件”，该应用本身并不具备邮件发送能力，需要通过外部 SMTP 服务器发送；因此安全性的关键在于：为 Postfix 配置强加密与认证，并在 Postman 侧仅使用加密通道与凭据托管。为降低被标记为垃圾邮件的风险，还需正确部署 SPF、DKIM、DMARC 等标准。
Postfix 加密与身份认证加固
- 使用受信任 CA 的证书（推荐 Let’s Encrypt），在 /etc/postfix/main.cf 中配置：
- smtpd_tls_cert_file、smtpd_tls_key_file 指向你的证书与私钥
- 启用 STARTTLS：smtpd_use_tls=yes，smtpd_tls_security_level=may
- 出站强制加密：smtp_tls_security_level=encrypt
- 仅经认证的入站连接可加密：smtpd_tls_auth_only=yes
- 会话缓存与会话票据提升性能与安全性
- 示例（请按你的域名与证书路径调整）：
- smtpd_tls_cert_file=/etc/letsencrypt/live/yourdomain.com/fullchain.pem
- smtpd_tls_key_file=/etc/letsencrypt/live/yourdomain.com/privkey.pem
- smtpd_use_tls=yes
- smtpd_tls_security_level=may
- smtp_tls_security_level=encrypt
- smtpd_tls_auth_only=yes
- smtpd_tls_session_cache_database=btree:${data_directory}/smtpd_scache
- smtp_tls_session_cache_database=btree:${data_directory}/smtp_scache
- 启用 SASL 认证（与 Dovecot 或 saslauthd 集成），仅允许可信网络与已认证用户外发：
- smtpd_sasl_type=dovecot
- smtpd_sasl_path=private/auth
- smtpd_sasl_auth_enable=yes
- smtpd_recipient_restrictions=permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination
- smtpd_sasl_security_options=noanonymous
- 协议与套件加固（禁用过时与弱算法）：
- smtpd_tls_mandatory_protocols=!SSLv2,!SSLv3,!TLSv1,!TLSv1.1
- smtpd_tls_protocols=!SSLv2,!SSLv3,!TLSv1,!TLSv1.1
- smtp_tls_exclude_ciphers=EXP,MEDIUM,LOW,DES,3DES,RC4,MD5
- tls_high_cipherlist=ECDHE+AESGCM:ECDHE+AES256:ECDHE+AES128:!aNULL:!eNULL:!MD5:!DES:!3DES:!RC4:!EXP:!SEED:!IDEA
- 生成并定期轮换 DH 参数：openssl dhparam -out /etc/postfix/dhparam.pem 2048
- 验证与生效
- 重载：systemctl reload postfix
- 查看 TLS/SMTP 日志：在 main.cf 中设置 smtp_tls_loglevel=1，使用 tail -f /var/log/mail.log 观察握手与认证情况
- 连接测试：openssl s_client -connect yourdomain.com:587 -starttls smtp
- 防火墙仅开放必要端口：25/TCP（MTA 间通信）、587/TCP（Submission 提交）、如需 SMTPS 可开 465/TCP。
Postman 侧的安全配置
- 在 Postman 中不要使用明文端口 25 发送邮件；优先选择 587/STARTTLS 或 465/SMTPS，并在客户端启用加密选项。
- 使用应用专用密码或 OAuth 2.0 令牌代替账户明文密码；为不同环境（开发/预发/生产）使用独立凭据并妥善管控。
- 避免在请求体或日志中记录敏感信息（如密码、令牌、PII）；使用 Secrets Manager/Vault 管理凭据，并在 Postman 环境变量中引用。
- 若需“内容级”加密，可在发送前用 GPG/OpenSSL 对附件或正文加密，再在 Postman 中仅传输密文或下载链接。
反垃圾与合规送达
- 正确发布与对齐 SPF（发信源授权）、DKIM（内容签名）、DMARC（策略与对齐），并在 DNS 中为返回路径（Return-Path）与 From 域保持一致或明确对齐策略。
- 优化内容与发送行为：避免垃圾关键词、标题与正文一致、控制链接与附件数量、提供清晰的退订机制、维护干净收件人列表、避免短时间高频群发。
运维与审计
- 保持系统与软件包更新：apt update && apt full-upgrade；变更 /etc/postfix/main.cf 前先备份，变更后重载服务并回归测试。
- 持续监控与告警：定期查看 /var/log/mail.log，使用 mailq 检查队列堆积；对认证失败、TLS 握手失败、策略拒绝等事件设置监控与告警。
