10-logging.conf controla el nivel de detalle:
log_path = /var/log/dovecot.log
info_log_path = /var/log/dovecot-info.log
debug_log_path =
login_log_format = "%u: %m"
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c"
mail_log_events = delete undelete expunge copy mailbox_delete mailbox_rename
plugin {
mail_log_fields = uid box msgid size
}
El plugin mail_log (se carga con mail_plugins = mail_log notify) escribe líneas de auditoría para los eventos destructivos. Es fundamental para el cumplimiento normativo (HIPAA, servicios financieros).
Envía los logs a un SIEM: usa rsyslog o vector para llevar /var/log/dovecot.log a Loki, Elastic o Splunk. Etiqueta por mpid (ID del proceso de correo) para agrupar los eventos de cada sesión.
Rastrea los inicios de sesión desde IP nuevas: combina mail_log con un filtro de fail2ban o con un script propio que avise por correo a los usuarios cuando hay un inicio de sesión desde un ASN desconocido.
Inicia sesión para llevar el registro de lo que ya leíste.