Los valores predeterminados de Dovecot 2.3+ son razonables, pero fíjalos siempre de forma explícita en local.conf:
ssl = required
ssl_min_protocol = TLSv1.2
ssl_cipher_list = ECDHE+AESGCM:ECDHE+CHACHA20:!aNULL:!MD5
ssl_prefer_server_ciphers = yes
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.example.com/privkey.pem
ssl_dh = </etc/dovecot/dh.pem
Genera una sola vez un archivo de parámetros DH de 4096 bits:
openssl dhparam -out /etc/dovecot/dh.pem 4096
ssl = required significa que IMAP/POP3 en texto plano (143, 110) exigen STARTTLS antes de AUTH. Los intentos de autenticación en texto plano se rechazan. Para el máximo rigor:
disable_plaintext_auth = yes
Inicia sesión para llevar el registro de lo que ya leíste.