Configurar Postfix en Ubuntu para Enviar Correo desde tu Aplicación

Enviar correo desde tu aplicación parece simple hasta que el primer mensaje cae en el spam de Gmail o es rechazado por Outlook. Postfix es el servidor SMTP más usado en Ubuntu por ser estable, performante y bien documentado, pero la configuración por defecto no se acerca ni de lejos a lo que los proveedores modernos exigen para aceptar tus mensajes.

Esta guía es para desarrolladores que necesitan configurar Postfix en una VPS Ubuntu 24.04 LTS para enviar correos transaccionales — confirmación de registro, recuperación de contraseña, notificaciones de pedido. Vamos a configurar Postfix como relay autenticado, con SPF, DKIM y DMARC ajustados en el DNS, y a validar la entrega real. Tiempo estimado: 40 a 60 minutos, dependiendo del tiempo de propagación DNS.

El enfoque aquí es el de “null client” enviando vía relay autenticado externo. Es la configuración correcta para el 95% de los casos de aplicaciones web: más simple, más segura y con una tasa de entrega significativamente mejor que intentar enviar directo desde la VPS.

Prerrequisitos

Antes de empezar, asegúrate de tener el entorno preparado y las credenciales del relay a mano.

Verifica también que el hostname de la VPS esté configurado correctamente — Postfix usa el hostname para identificarse en el HELO/EHLO, y si es genérico tipo ubuntu-vps los relays pueden rechazarlo.

hostnamectl set-hostname mail.tudominio.com
echo "127.0.1.1 mail.tudominio.com mail" | sudo tee -a /etc/hosts

Instalación de Postfix

La instalación estándar de Postfix en Ubuntu ya cubre casi todo lo que necesitamos, pero la configuración inicial vía debconf pide algunas elecciones importantes.

sudo apt update
sudo apt install -y postfix libsasl2-modules mailutils

sudo dpkg-reconfigure postfix

Configuración del relay autenticado

Postfix necesita saber a dónde enviar y cómo autenticarse. Esto vive en dos archivos: main.cf (configuración principal) y sasl_passwd (credenciales).

sudo nano /etc/postfix/main.cf

relayhost = [smtp.tuproveedor.com]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_tls_security_level = encrypt
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtp_sasl_tls_security_options = noanonymous
header_size_limit = 4096000

sudo nano /etc/postfix/sasl_passwd

[smtp.tuproveedor.com]:587 USUARIO_API:CLAVE_API

sudo postmap /etc/postfix/sasl_passwd
sudo chmod 600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db
sudo systemctl restart postfix

Configurando SPF, DKIM y DMARC en el DNS

Sin autenticación DNS, ningún proveedor serio acepta tus correos de forma consistente. Vamos a configurar los tres registros esenciales.

SPF (Sender Policy Framework)

SPF declara qué servidores pueden enviar correo con tu dominio como remitente. Crea un registro TXT en el DNS de tu dominio:

Tipo: TXT
Nombre: @
Valor: v=spf1 include:_spf.tuproveedor.com -all

El -all al final es un hard fail — cualquier servidor fuera del include es rechazado. En producción, usa ~all (soft fail) durante los primeros días y migra a -all después de validar la entrega.

DKIM (DomainKeys Identified Mail)

DKIM firma criptográficamente cada correo enviado. La mayoría de los relays entregan la clave pública lista para pegar en el DNS — normalmente como CNAME o TXT. Toma los valores en el panel de tu proveedor de relay y crea los registros como se indica.

Si necesitas que el propio Postfix firme (raro en null client), instala opendkim:

sudo apt install -y opendkim opendkim-tools
sudo mkdir -p /etc/opendkim/keys/tudominio.com
cd /etc/opendkim/keys/tudominio.com
sudo opendkim-genkey -s default -d tudominio.com
sudo chown opendkim:opendkim default.private

DMARC

DMARC le indica al servidor receptor qué hacer con los correos que fallan SPF o DKIM. Empieza en modo monitoreo:

Tipo: TXT
Nombre: _dmarc
Valor: v=DMARC1; p=none; rua=mailto:[email protected]; pct=100

Después de una semana recolectando reportes y confirmando que SPF y DKIM pasan consistentemente, migra p=none a p=quarantine y luego a p=reject.

Verificación de la configuración

Antes de conectar esto a la aplicación, valida con pruebas manuales que todo funciona.

echo "Contenido del correo de prueba" | mail -s "Prueba Postfix Relay" \
  -a "From: [email protected]" [email protected]

sudo tail -f /var/log/mail.log

SPF: PASS
DKIM: PASS
DMARC: PASS

Integrando con tu aplicación

Con Postfix funcionando como null client autenticado, tu aplicación envía correos vía SMTP localhost en el puerto 25 sin necesidad de conocer las credenciales del relay.

Ejemplo de configuración en variables de entorno

SMTP_HOST=127.0.0.1
SMTP_PORT=25
SMTP_USER=
SMTP_PASS=
MAIL_FROM=[email protected]

Frameworks como Laravel, Django, Rails y Node.js (nodemailer) consiguen enviar correos apuntando a 127.0.0.1:25 sin autenticación local — Postfix se encarga del relay autenticado con el proveedor externo.

Resolución de problemas

Mensajes atascados en deferred

Si postqueue -p muestra mensajes con estado deferred, normalmente es un problema de autenticación SASL o TLS:

sudo postqueue -p
sudo postcat -vq <ID_DEL_MENSAJE>

Revisa /var/log/mail.log para el mensaje de error específico. Los casos más comunes: contraseña del relay incorrecta (535 Authentication failed), TLS rechazado por el relay (STARTTLS failed), o IP de la VPS bloqueada por el relay (verifica en el panel del proveedor).

Error “Relay access denied”

Significa que estás intentando enviar con una dirección de remitente fuera del dominio autorizado en el relay. Confirma que el From: de la aplicación use exactamente el dominio configurado en el proveedor — y que el dominio esté validado en el panel.

Postfix no escucha en el puerto 25

Si tu aplicación no logra conectarse a 127.0.0.1:25, confirma que Postfix está escuchando:

sudo ss -tlnp | grep :25

Si no aparece nada, edita /etc/postfix/main.cf y confirma que inet_interfaces = loopback-only o inet_interfaces = all (para null client, loopback-only es lo correcto y más seguro). Reinicia con sudo systemctl restart postfix.

Próximos pasos

Con Postfix configurado, vale la pena explorar configuraciones de producción más robustas:

• Configura postfix-pflogsumm para recibir reportes diarios por correo sobre volumen enviado, bounces e intentos sospechosos.
• Implementa rate limiting vía smtpd_client_connection_rate_limit para protegerte de aplicaciones con bucle infinito de envío.
• Usa una cola de jobs (Sidekiq, Celery, Laravel Queue) para encolar los envíos en vez de llamar sendmail de forma síncrona — así evitas bloquear las peticiones HTTP cuando el relay está lento.
• Monitorea la reputación de tu dominio mensualmente con herramientas como Google Postmaster Tools y Microsoft SNDS.

Si estás llevando correo transaccional a producción, una VPS Hostini ya viene con IPv4 dedicada y reverse DNS configurable desde el panel — dos requisitos básicos para que cualquier proveedor de correo tome en serio tus envíos.