Les valeurs par défaut de Dovecot 2.3+ sont raisonnables, mais fixez-les toujours explicitement dans local.conf :
ssl = required
ssl_min_protocol = TLSv1.2
ssl_cipher_list = ECDHE+AESGCM:ECDHE+CHACHA20:!aNULL:!MD5
ssl_prefer_server_ciphers = yes
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.example.com/privkey.pem
ssl_dh = </etc/dovecot/dh.pem
Générez une seule fois un fichier de paramètres DH de 4096 bits :
openssl dhparam -out /etc/dovecot/dh.pem 4096
ssl = required signifie qu'en IMAP/POP3 non chiffré (143, 110), STARTTLS est exigé avant AUTH. Les tentatives d'authentification en clair sont refusées. Pour une rigueur maximale :
disable_plaintext_auth = yes
Connectez-vous pour garder une trace de ce que vous avez lu.