Configurar Postfix no Ubuntu para Enviar Email da sua Aplicação

Enviar email da sua aplicação parece simples até a primeira mensagem cair no spam do Gmail ou ser rejeitada pelo Outlook. O Postfix é o servidor SMTP mais usado no Ubuntu por ser estável, performático e bem documentado, mas a configuração default não chega nem perto do que provedores modernos exigem para aceitar suas mensagens.

Este guia é para desenvolvedores que precisam configurar Postfix em uma VPS Ubuntu 24.04 LTS para enviar emails transacionais — confirmação de cadastro, recuperação de senha, notificações de pedido. Vamos configurar o Postfix como relay autenticado, com SPF, DKIM e DMARC ajustados no DNS, e validar a entrega real. Tempo estimado: 40 a 60 minutos, dependendo do tempo de propagação DNS.

A abordagem aqui é a de “null client” enviando via relay autenticado externo. É a configuração correta para 95% dos casos de aplicações web: mais simples, mais segura, e com taxa de entrega significativamente melhor do que tentar enviar direto da VPS.

Pré-requisitos

Antes de começar, garanta que você tem o ambiente preparado e as credenciais do relay em mãos.

Verifique também se o hostname da VPS está configurado corretamente — Postfix usa o hostname para identificar-se no HELO/EHLO, e se for genérico tipo ubuntu-vps os relays podem rejeitar.

hostnamectl set-hostname mail.seudominio.com
echo "127.0.1.1 mail.seudominio.com mail" | sudo tee -a /etc/hosts

Instalação do Postfix

A instalação padrão do Postfix no Ubuntu já cobre quase tudo que precisamos, mas a configuração inicial via debconf pede algumas escolhas importantes.

sudo apt update
sudo apt install -y postfix libsasl2-modules mailutils

sudo dpkg-reconfigure postfix

Configuração do relay autenticado

O Postfix precisa saber para onde enviar e como autenticar. Isso vive em dois arquivos: main.cf (configuração principal) e sasl_passwd (credenciais).

sudo nano /etc/postfix/main.cf

relayhost = [smtp.seuprovedor.com]:587
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
smtp_tls_security_level = encrypt
smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtp_sasl_tls_security_options = noanonymous
header_size_limit = 4096000

sudo nano /etc/postfix/sasl_passwd

[smtp.seuprovedor.com]:587 USUARIO_API:SENHA_API

sudo postmap /etc/postfix/sasl_passwd
sudo chmod 600 /etc/postfix/sasl_passwd /etc/postfix/sasl_passwd.db
sudo systemctl restart postfix

Configurando SPF, DKIM e DMARC no DNS

Sem autenticação DNS, nenhum provedor sério aceita seus emails consistentemente. Vamos configurar os três registros essenciais.

SPF (Sender Policy Framework)

SPF declara quais servidores podem enviar email com seu domínio como remetente. Crie um registro TXT no DNS do seu domínio:

Tipo: TXT
Nome: @
Valor: v=spf1 include:_spf.seuprovedor.com -all

O -all no final é um hard fail — qualquer servidor fora do include é rejeitado. Em produção, use ~all (soft fail) nos primeiros dias e migre para -all depois de validar a entrega.

DKIM (DomainKeys Identified Mail)

DKIM assina criptograficamente cada email enviado. A maioria dos relays fornece a chave pública pronta para colar no DNS — normalmente como CNAME ou TXT. Pegue os valores no painel do seu provedor de relay e crie os registros conforme indicado.

Se você precisa que o próprio Postfix assine (raro em null client), instale o opendkim:

sudo apt install -y opendkim opendkim-tools
sudo mkdir -p /etc/opendkim/keys/seudominio.com
cd /etc/opendkim/keys/seudominio.com
sudo opendkim-genkey -s default -d seudominio.com
sudo chown opendkim:opendkim default.private

DMARC

DMARC instrui o servidor receptor sobre o que fazer com emails que falham SPF ou DKIM. Comece em modo monitoramento:

Tipo: TXT
Nome: _dmarc
Valor: v=DMARC1; p=none; rua=mailto:[email protected]; pct=100

Após uma semana coletando relatórios e confirmando que SPF e DKIM passam consistentemente, migre p=none para p=quarantine e depois p=reject.

Verificação da configuração

Antes de plugar isso na aplicação, valide com testes manuais que tudo funciona.

echo "Conteúdo do email de teste" | mail -s "Teste Postfix Relay" \
  -a "From: [email protected]" [email protected]

sudo tail -f /var/log/mail.log

SPF: PASS
DKIM: PASS
DMARC: PASS

Integrando com sua aplicação

Com Postfix funcionando como null client autenticado, sua aplicação envia emails via SMTP localhost na porta 25 sem precisar conhecer credenciais do relay.

Exemplo de configuração em variáveis de ambiente

SMTP_HOST=127.0.0.1
SMTP_PORT=25
SMTP_USER=
SMTP_PASS=
MAIL_FROM=[email protected]

Frameworks como Laravel, Django, Rails e Node.js (nodemailer) conseguem enviar emails apontando para 127.0.0.1:25 sem autenticação local — o Postfix se encarrega de relé autenticado com o provedor externo.

Resolução de problemas

Mensagens travadas em deferred

Se postqueue -p mostra mensagens com status deferred, normalmente é problema de autenticação SASL ou TLS:

sudo postqueue -p
sudo postcat -vq <ID_DA_MENSAGEM>

Veja /var/log/mail.log para a mensagem de erro específica. Os casos mais comuns: senha do relay errada (535 Authentication failed), TLS rejeitado pelo relay (STARTTLS failed), ou IP da VPS bloqueado pelo relay (verifique no painel do provedor).

Erro “Relay access denied”

Significa que você está tentando enviar com um endereço de remetente fora do domínio autorizado no relay. Confirme que o From: da aplicação usa exatamente o domínio configurado no provedor — e que o domínio está validado no painel.

Postfix não escuta na porta 25

Se sua aplicação não consegue conectar em 127.0.0.1:25, confirme que o Postfix está escutando:

sudo ss -tlnp | grep :25

Se nada aparecer, edite /etc/postfix/main.cf e confirme que inet_interfaces = loopback-only ou inet_interfaces = all (para null client, loopback-only é o correto e mais seguro). Reinicie com sudo systemctl restart postfix.

Próximos passos

Com Postfix configurado, vale explorar configurações de produção mais robustas:

• Configure postfix-pflogsumm para receber relatórios diários por email sobre volume enviado, bounces e tentativas suspeitas.
• Implemente rate limiting via smtpd_client_connection_rate_limit para proteger contra aplicações com loop infinito de envio.
• Use uma fila de jobs (Sidekiq, Celery, Laravel Queue) para enfileirar envios em vez de chamar sendmail sincronamente — isso evita travar requisições HTTP quando o relay está lento.
• Monitore a reputação do seu domínio mensalmente em ferramentas como Google Postmaster Tools e Microsoft SNDS.

Se você está colocando email transacional em produção, uma VPS Hostini já vem com IPv4 dedicado e reverse DNS configurável pelo painel — dois requisitos básicos para que qualquer provedor de email leve seus envios a sério.