De standaardwaarden van Dovecot 2.3+ zijn redelijk, maar leg ze altijd expliciet vast in local.conf:
ssl = required
ssl_min_protocol = TLSv1.2
ssl_cipher_list = ECDHE+AESGCM:ECDHE+CHACHA20:!aNULL:!MD5
ssl_prefer_server_ciphers = yes
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.example.com/privkey.pem
ssl_dh = </etc/dovecot/dh.pem
Genereer eenmalig een DH-parameterbestand van 4096 bit:
openssl dhparam -out /etc/dovecot/dh.pem 4096
ssl = required betekent dat IMAP/POP3 zonder versleuteling (143, 110) eerst STARTTLS moet doen voordat AUTH mag. Pogingen om onversleuteld in te loggen worden geweigerd. Voor maximale strengheid:
disable_plaintext_auth = yes
Log in om bij te houden wat je gelezen hebt.