Os padrões do Dovecot 2.3+ são razoáveis, mas sempre fixe-os explicitamente no local.conf:
ssl = required
ssl_min_protocol = TLSv1.2
ssl_cipher_list = ECDHE+AESGCM:ECDHE+CHACHA20:!aNULL:!MD5
ssl_prefer_server_ciphers = yes
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.example.com/privkey.pem
ssl_dh = </etc/dovecot/dh.pem
Gere uma vez um arquivo de parâmetros DH de 4096 bits:
openssl dhparam -out /etc/dovecot/dh.pem 4096
ssl = required significa que o IMAP/POP3 sem criptografia (143, 110) exige STARTTLS antes do AUTH. Tentativas de autenticação em texto puro são recusadas. Para o máximo de rigor:
disable_plaintext_auth = yes
Entre para acompanhar o que você já leu.