Enviar e-mail da VPS (porta 25 bloqueada)

O que é

Na rede da WFree, a saída pela porta TCP 25 (SMTP direto) vem bloqueada em todas as VPS. O bloqueio fica na rede, fora da VPS: abrir a porta no firewall da área do cliente ou no sistema não muda nada. Também ficam bloqueadas na saída as portas 23, 19, 135, 137, 138, 139 e 445 (artigo "Firewall da VPS").

Se a sua aplicação precisa mesmo enviar direto pela porta 25 (um servidor de e-mail próprio, por exemplo), peça a liberação por ticket. A equipe analisa o pedido e, se aprovar, libera a saída pela porta 25 só para o IP daquela VPS. A liberação continua valendo quando você reinstala o sistema. Se a VPS for encerrada ou mudar de IP, ela deixa de valer e é preciso pedir de novo.

Isso não impede a sua aplicação de enviar e-mail. O caminho é um relay autenticado: um servidor SMTP que recebe a mensagem da sua VPS com usuário e senha, nas portas 587 (STARTTLS) ou 465 (SSL), e entrega ao destinatário. Pode ser o serviço de e-mail do seu domínio ou um serviço de envio transacional.

Se você também tem hospedagem na WFree, uma caixa de e-mail dela serve como relay: servidor sites.wfree.com.br, porta 465 (SSL) ou 587 (STARTTLS), usuário igual ao endereço de e-mail completo e a senha da caixa. Vale o limite de envio por dia, somando todas as caixas da conta de hospedagem: Grátis 50, Básico 100, Avançado 150 e Premium 200. Nenhuma caixa passa de 200 por dia.

Spam e envio em massa sem consentimento (opt-in) são proibidos. O limite diário da hospedagem não comporta campanhas de marketing.

Como fazer

1. Tenha em mãos os dados do relay: servidor, porta (587 ou 465), usuário e senha. Prefira uma caixa criada só para a aplicação.
2. Teste a saída a partir da VPS:

   openssl s_client -connect sites.wfree.com.br:587 -starttls smtp

   Se aparecer o certificado do servidor e a conexão ficar aberta esperando comando, a porta funciona. Digite QUIT para sair. Troque o servidor e a porta pelos do seu relay, se for outro.
3. Configure a aplicação para usar o relay. WordPress, Laravel, Django, Node e afins têm campos para servidor SMTP, porta, usuário e senha. Configure ali; não instale um servidor de e-mail completo na VPS.
4. Se o próprio sistema precisa enviar (avisos de cron, por exemplo), instale um cliente leve:

   apt install msmtp msmtp-mta

   Crie /etc/msmtprc:

   defaults
   auth on
   tls on
   account padrao
   host sites.wfree.com.br
   port 587
   from app@seudominio.com.br
   user app@seudominio.com.br
   password SENHA_DA_CAIXA
   account default : padrao

   Proteja o arquivo com chmod 600 /etc/msmtprc.
5. Envie um teste: echo "teste" | msmtp seu@email.com.
6. Configure SPF e DKIM do domínio remetente: o registro TXT de SPF autorizando o servidor do relay e o registro TXT de DKIM com a chave que o provedor do relay fornecer. Se o domínio usa os servidores de nome ns1.wfree.com.br e ns2.wfree.com.br, crie os registros na área do cliente, em Domínios > Meus Domínios > (domínio) > Gerenciar DNS (ou no botão Gerenciar DNS da página da hospedagem). Se o DNS do domínio está em outro provedor, crie os registros lá. Sem SPF e DKIM, a mensagem tende a cair no spam. Se o relay for a hospedagem da WFree, consulte o suporte sobre o DKIM.

Se der errado

• Erro na porta 25 ("No route to host" ou falha de conexão imediata): é o bloqueio esperado. Troque para 587 ou 465. Abrir a porta no firewall não resolve. Se você precisa mesmo da porta 25, peça a liberação por ticket.
• Timeout também na 587 ou 465: confira as regras de saída na página Firewall do serviço na área do cliente e o firewall do próprio sistema (nft list ruleset ou iptables -L -n).
• "Authentication failed": usuário ou senha errados. O usuário é o endereço de e-mail completo.
• Os envios param no meio do dia (relay pela hospedagem da WFree): pode ser o limite diário da conta de hospedagem (50 a 200 por dia, conforme o plano). Para volume maior, use um serviço de envio transacional.
• Enviou, mas caiu no spam: confira SPF e DKIM, use um remetente do mesmo domínio que o relay autentica e comece com pouco volume.
• Enviou, mas voltou (bounce): leia a mensagem de erro do retorno. Ela diz se o problema está no destino, na autenticação ou no DNS.

Quando abrir um ticket

Abra um ticket em https://wfree.com.br/clientes (Suporte > Abrir Ticket) quando a conexão nas portas 587 ou 465 falhar mesmo com o firewall liberado, para pedir a liberação da porta 25 de saída (informe para que vai usar a porta 25), quando precisar de rDNS/PTR personalizado no IP da VPS (é feito pelo ticket; informe o IP e o nome desejado) ou para dúvidas sobre o DKIM da hospedagem. Informe o hostname da VPS, o servidor e a porta do relay e a saída do openssl. Nunca escreva a senha da caixa no ticket.