Главная/Установка/SSL для почты

SSL для почтового сервера: порты, сертификат и настройка

SSL для почтового сервера шифрует соединение между почтовой программой и сервером на портах 465 (отправка), 993 (IMAP) и 995 (POP3), либо через STARTTLS на портах 587, 143 и 110. Сертификат выпускают на имя сервера, например mail.example.com, а не на домен из адресов электронной почты.

4 мин чтенияДанные проверены 19 октября 2026

Ответ за 30 секунд

Для почты берите порты 465, 993 и 995: шифрование включено с первого байта. Имя в сертификате должно совпадать с именем сервера, которое вписано в почтовую программу, иначе клиент покажет ошибку проверки.

Let's Encrypt для mail.домен бесплатный, платный AlphaSSL стоит 1 000 ₽ за 6 месяцев, 7 дней на возврат (Таймвеб, на 19 октября 2026).

Как выбрать порт и режим SSL для почтовой программы

01 · 1 мин

Какие порты и режимы SSL используют SMTP, IMAP и POP3#

SSL в почте защищает канал между программой и сервером: пароль и письма идут по сети в шифрованном виде. Хранятся письма на сервере как обычно, а сквозное шифрование между людьми это отдельная технология (PGP или S/MIME).

У шифрования два режима. SSL/TLS включает защиту сразу при подключении, STARTTLS начинает как обычное соединение и переключается на шифрованное командой.

ПротоколSSL/TLS сразуSTARTTLS
SMTP, отправка из программы465587
IMAP, получение993143
POP3, получение995110

Порт 25 служит для передачи почты между серверами: шифрование там включается по возможности, сертификат обычно не проверяют. RFC 8314 рекомендует клиентам режим с шифрованием с первого байта, то есть 465, 993 и 995.

02 · 1 мин

На какое имя выпускать сертификат для почтового сервера#

Почтовая программа сверяет адрес сервера из настроек с именами в сертификате. Если в настройках указан mail.example.com, имя должно быть в сертификате. Домен из адреса (user@example.com) значения не имеет.

Отдельный сертификат для почты нужен не всегда. Имя почтового сервера можно добавить в сертификат сайта: -d example.com -d www.example.com -d mail.example.com. Либо взять Wildcard, он закрывает mail, smtp и imap, но не сам домен без поддомена. Когда один сертификат закрывает несколько имён: SSL на несколько доменов.

sudo certbot certonly --standalone -d mail.example.com \
  --deploy-hook "systemctl reload postfix dovecot"

Ключ --standalone занимает порт 80, поэтому если на сервере работает веб-сервер, берите --webroot или плагин для вашего сервера. Как работает сам Certbot. Ключ --deploy-hook перезагружает почтовые службы после каждого продления.

03 · 1 мин

Как подключить сертификат к Postfix и Dovecot#

Postfix принимает письма и отправляет их, Dovecot отдаёт их по IMAP и POP3. Сертификат прописывают в обоих.

# Postfix, файл /etc/postfix/main.cf
smtpd_tls_cert_file = /etc/letsencrypt/live/mail.example.com/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.example.com/privkey.pem
smtpd_tls_security_level = may

# Postfix, /etc/postfix/master.cf: порт 587 (STARTTLS) и 465 (SSL/TLS)
submission inet n - n - - smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
smtps inet n - n - - smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
# Dovecot 2.4
ssl = required
ssl_server_cert_file = /etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_server_key_file = /etc/letsencrypt/live/mail.example.com/privkey.pem

# Dovecot до 2.4: параметры ssl_cert и ssl_key, путь со знаком <
ssl_cert = </etc/letsencrypt/live/mail.example.com/fullchain.pem
ssl_key = </etc/letsencrypt/live/mail.example.com/privkey.pem

После правки перезагрузите службы: systemctl reload postfix dovecot. Ключевые файлы Let's Encrypt устроены так: fullchain.pem содержит сертификат и цепочку, privkey.pem закрытый ключ (закрытый ключ). Цепочка нужна полностью, иначе часть программ покажет ошибку: цепочка сертификатов.

04 · 1 мин

Как проверить SSL на почтовом сервере командой openssl#

Проверка показывает, какой сертификат отдаёт каждый порт и доверяет ли ему система. В выводе ищите строку Verify return code: 0 (ok) и поля Subject и Issuer.

openssl s_client -connect mail.example.com:993
openssl s_client -connect mail.example.com:465
openssl s_client -starttls smtp -connect mail.example.com:587
openssl s_client -starttls imap -connect mail.example.com:143

Ошибка о несовпадении имени чаще всего значит, что в программу вписан домен вместо имени сервера. Исправляется заменой адреса сервера в настройках: имя не совпадает. Остальные способы: команды OpenSSL.

Инструмент · 1 мин

Как выбрать порт и режим SSL для почтовой программы#

Ответьте на два вопроса: подсказка назовёт порт под ваш протокол.

Какой порт выбрать в почтовой программе

Два ответа, и подсказка назовёт порт и режим шифрования

Что настраиваете
Что предлагает почтовая программа или провайдер

06 · 1 мин

Вопросы об SSL в почте#

Что такое SSL в почте и зачем он нужен?

Это шифрование канала между почтовой программой и сервером. Без него пароль и письма идут по сети открытым текстом. Включают его в настройках учётной записи, выбирая порты 465, 993 или 995.

Что значит переключатель SSL в почте на iPhone?

Параметр «Использовать SSL» в настройках сервера входящей или исходящей почты включает шифрованное соединение. Для IMAP это порт 993, для POP3 995, для отправки 465 или 587, в зависимости от того, что поддерживает провайдер.

Как создать SSL-сертификат для локального почтового сервера?

Если сервер доступен только внутри сети, выпустите сертификат своим центром сертификации или самоподписанный и добавьте его в доверенные на устройствах. Приёмы описаны на страницах SSL для localhost и самоподписанный сертификат.

Какой порт выбрать для SMTP с SSL: 465 или 587?

Оба рабочие. На 465 шифрование включается сразу, на 587 через STARTTLS с обязательным шифрованием. Берите тот, который поддерживает ваш провайдер, а для нового сервера включайте оба.

Нужен ли отдельный сертификат для почтового сервера, если на домене есть https?

Не обязательно. Имя почтового сервера можно добавить в сертификат сайта, либо использовать Wildcard. Главное, чтобы имя в почтовой программе совпадало с одним из имён в сертификате.

Почему этому можно верить

Как мы проверяли

Документация и провайдерыКоманды выпуска и установки сверены с документацией, дата указана.
Всё можно повторитьКоманды certbot и openssl описаны так, что их повторит любой читатель.
Независимый справочникНе связан с центрами сертификации и честно говорит, когда хватает бесплатного SSL.

Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; Dovecot: настройка SSL (ssl_server_cert_file, ssl_server_key_file), doc.dovecot.org/main/core/config/ssl.html, проверено 19 октября 2026.

SBРедакция SSLBase · обновлено 19 октября 2026

Подключите SSL к сайту

От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.

  • Бесплатный Let's Encrypt на домен
  • Платные от 1 000 ₽ за 6 месяцев
  • Wildcard на все поддомены
  • 7 дней на возврат
Выбор порта

Что посмотреть дальше

SSL на несколько доменовОдно имя для сайта и почты CertbotВыпуск и продление OpenSSLКоманды проверки Имя не совпадаетОшибка проверки