自建邮件能给你任何服务商都给不了的东西：邮件存放在你自己的磁盘上，司法管辖区由你选，没有任何第三方能够读取这个邮箱，或者把它交出去。代价是，2026 年运行一台邮件服务器是一份货真价实的运维工作。送达率——也就是让邮件进入收件箱而不是垃圾邮件箱——取决于干净的 IP、正确的 DNS，以及耐心。本页会坦诚地讲清整个技术栈：CryptoVpsHost 为你提供什么（最难搞定的部分：干净的 IP、rDNS、开放的 25 端口）、你要自己搭建什么（Postfix、Dovecot、SPF/DKIM/DMARC），以及邮件真正进入收件箱需要付出什么。
如果你想要的是隐私并且要掌控权——比如保护信源的记者、拒绝使用 Gmail 的开发者、需要把邮件放在友好司法管辖区的机构——这就是标准做法。它不是搭完就能撒手不管的周末玩具；请把预热和维护都计划进去。
自建邮件为什么要用 VPS，以及该选哪一档
邮件是一项需要长期在线、监听 25 端口、并由其他服务器主动连入的服务。这就排除了处于 NAT 之后的机器、IP 为共享或已被列入黑名单的机器，以及无法设置反向 DNS 的机器。你需要的是一台真正的 VPS：固定、干净、独立的 IPv4 地址，并且完全掌控 DNS。这恰恰就是一台 CryptoVpsHost 实例。
给机器选对配置
邮件系统并不吃 CPU，但一旦加上垃圾邮件过滤和索引，对内存和 IO 就很敏感。Rspamd 和 Dovecot 的全文搜索（FTS）都很吃内存；maildir 邮件存储则需要高速 NVMe。
- S1（2 vCPU / 4 GB / 80 GB），每月 $5 起——适合只有一个用户的自有域名邮箱，并把 Rspamd 精简到够用即可。邮件量一上去就会吃紧。
- S2 Pro（4 vCPU / 16 GB / 320 GB），每月 $15 起——推荐的基准配置。足以容纳 Postfix + Dovecot + Rspamd + Redis + 一个小型 ClamAV，还能为几百个邮箱和 IMAP 搜索索引留出余量。几乎所有人，我们都推荐这一档。
- S3 Power（8 vCPU / 32 GB / 640 GB），每月 $30 起——适合大流量或多租户邮件场景：既要运行 ClamAV，又有庞大的 FTS 索引和高强度过滤。
所有套餐都包含 AMD EPYC 核心、DDR5 内存、NVMe Gen5 存储和一个 /64 IPv6 地址段。如果你根本不想和别人共用同一台宿主机，同一套技术栈也可以跑在独立服务器 R1（Ryzen 9 7950X，64 GB ECC）上，获得硬隔离。开通一台 S2，通常大约 47 秒就能上线。
送达率的现实：干净的 IP、rDNS 和真正关键的记录
大多数自建邮件的尝试，都倒在这一关。发出邮件很容易；让它被接收才是整场游戏的全部。接收方服务器（Gmail、Outlook、企业邮件网关）只看几个硬性信号来评判你。这些信号只要出错，你的邮件就会悄无声息地进入垃圾箱。
1. 干净的独立 IP——没有商量余地
如果你的 IP 上个月还被垃圾邮件发送者用过，你就继承了对方的信誉，任何配置都无法补救。CryptoVpsHost 分配的是干净的 IP 地址段，而不是回收利用的滥用地址块。动手搭建之前，先用 Spamhaus ZEN、Barracuda、SpamCop 等主流 DNS 黑名单（DNSBL）核查一下你的 IP。如果刚拿到手就已经被列入黑名单，请在面板中提交工单，我们会为你更换。
2. rDNS / PTR——大多数主机商满足不了的要求
PTR 记录把你的 IP 反向映射回主机名（例如 198.51.100.10 → mail.yourdomain.com），而且它必须与你的 HELO/EHLO 名称一致，并有对应的正向 A 记录（FCrDNS，即前向确认的反向 DNS）。对于没有 PTR 记录、或者只有服务商通用 PTR 的 IP，Gmail 和 Outlook 会拒收其邮件，或把邮件判入垃圾箱。这一项你自己设置不了——必须由 IP 的所有者来设置。你在面板中提出请求，我们就为你设置 rDNS。仅凭这一项能力，就值得把邮件托管在这里，而不是托管在那些对 PTR 工单置之不理的廉价 VPS 上。
3. SPF、DKIM、DMARC——DNS 三件套
它们都是写在你域名 DNS 区域（zone）里的 TXT 记录：
; SPF — authorize this server to send for the domain
yourdomain.com. TXT "v=spf1 mx a:mail.yourdomain.com -all"
; DKIM — public key; private key signs outbound mail (set up by opendkim/rspamd)
default._domainkey.yourdomain.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
; DMARC — start at p=none to monitor, tighten to quarantine/reject later
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=s; aspf=s"一旦确认只有这台服务器在发信，就把 SPF 设为 -all（硬失败）。每封外发邮件都要用 DKIM 签名。DMARC 先从 p=none 开始，查看聚合报告，然后升级到 p=quarantine，最后再到 p=reject。
4. 预热——没法走捷径的一环
全新的 IP 和域名没有任何发信历史。第一天就别向邮件列表群发。最初的 1–2 周，只向有互动的收件人少量发信，再逐步放量。注册 Google Postmaster Tools 和 Microsoft SNDS，用来监控你的信誉。预计大约需要一周，送达率才会稳定下来。
Postfix + Dovecot 技术栈，逐步搭建
Linux 上经典的邮件技术栈，是 Postfix（SMTP——负责收发邮件）加 Dovecot（IMAP/POP3——供你的客户端读取邮件），再用 Rspamd 做垃圾邮件过滤和 DKIM 签名。下面以 Debian 13（我们提供的标准镜像之一）为例，勾勒它的大致轮廓。
开放正确的端口
入站端口：25（来自其他服务器的 SMTP）、465（SMTPS 提交）、587（STARTTLS 提交）、993（IMAPS）、995（POP3S）。在 CryptoVpsHost 上，出站 25 端口默认开放——动手搭建之前请先确认一下。
apt update && apt install -y postfix dovecot-imapd dovecot-pop3d rspamd redis-server
# TLS: get a real cert (Let's Encrypt)
apt install -y certbot
certbot certonly --standalone -d mail.yourdomain.com用 Rspamd 接入 DKIM 签名
# /etc/rspamd/local.d/dkim_signing.conf
domain {
yourdomain.com {
path = "/var/lib/rspamd/dkim/yourdomain.key";
selector = "default";
}
}
# generate the keypair, publish the .txt as your DKIM DNS record
rspamadm dkim_keygen -s default -b 2048 -d yourdomain.com \
-k /var/lib/rspamd/dkim/yourdomain.key收紧 TLS
提交端口强制使用 TLS，IMAP 也要求使用 TLS。在 Postfix 中，入站方向设置 smtpd_tls_security_level = may（机会式加密——因为你仍然需要接收来自旧版服务器的邮件），出站方向则设置 smtp_tls_security_level = dane 或 may。再发布一份 MTA-STS 策略和一条 TLSA（DANE）记录，让发信方知道要对发给你的邮件加密。
操作系统层面的磁盘加密
默认情况下，静态存放在磁盘上的邮件是明文的。对于注重隐私的邮件服务器，请部署在 LUKS 加密卷上，或者至少把 maildir 邮件存储加密。再配合我们对 VPS root 密码所做的 AES-256 加密存储，没有你的密钥，这个邮箱就无法读取。关于通过 SSH 远程解锁的做法，请参阅全盘加密指南。
如果全部手工搭建超出了你的预期，也可以在同一台 S2 上部署集成方案（Mailcow、Mailu 或 Mail-in-a-Box）——DNS 和 rDNS 的规则完全一样。
司法管辖区：你的邮箱究竟落在哪里
自建意味着由你来选择邮件所在的法律土壤。在 CryptoVpsHost，这是一个横跨四个地区的审慎决定，每个地区的硬件都相同。
- 冰岛雷克雅未克（REK）——没有强制性数据留存法律，有 IMMI 新闻自由框架，使用可再生的地热能源。是记者和保护信源的默认之选。
- 瑞士苏黎世（ZRH）——FADP（瑞士《联邦数据保护法》）之下强有力的宪法级隐私保护，处于十四眼情报共享联盟（14-Eyes）之外，而且瑞士《刑法》第 271 条限制在瑞士境内协助外国当局。法律护城河最深，价格略高。
- 罗马尼亚布加勒斯特（OTP）——欧盟成员国，网络连通性出色，历来抵制过度宽泛的下架压力，成本最低。
- 法国巴黎（PAR）——属于欧盟，适用 GDPR，互联互通出色，也是价格第二便宜的地区（入门套餐 $5，与布加勒斯特相同）；到欧洲收件人的延迟表现良好。
比所在国家更要紧的还有两点。第一，运营实体位于圣基茨和尼维斯：我们只会依据对该地具有管辖权的法院依法送达的、具有约束力的司法命令行事，并且会先通知你。我们不会对你的邮件做任何主动的内容监控。第二，我们每月发布一份金丝雀声明（warrant canary），地址为 /canary——一旦它停止更新，你就知道该采取行动了。唯一不可逾越的红线是 CSAM（儿童性虐待材料）；合法的私人邮件，恰恰是这套基础设施所服务的对象。更深入的原理说明，请阅读离岸主机总览页和冰岛司法管辖区页面。
说句实话：要花多少功夫，以及谁不该这么做
与其让你半途放弃，我们更愿意看到你成功，所以这里讲的是不加修饰的真话。自建邮件服务器，是大多数人这辈子会运行的维护成本最高的服务。工作不会在搭建完成时结束：
- 持续的信誉管理。只要有一个被攻陷的账户在发垃圾邮件，或者一个配置错误的转发规则，你就会被拉进黑名单。你需要定期检查 DNSBL，并申请移除。
- 安全补丁。公网 SMTP 服务器会被不断探测。要让 Postfix/Dovecot 保持打好补丁、让 fail2ban 持续运行，并对提交端口的认证做速率限制。
- 备份。邮件是无可替代的。把 maildir 和 DKIM 密钥加密后，备份到机器之外。
- 送达率的漂移。Gmail 和 Outlook 会改规则。去年能进收件箱的邮件，今年可能就进了垃圾箱；你得随之调整。
如果你把控制权和隐私看得比便利更重，习惯在 Linux 命令行下工作，并且愿意承诺做好维护，那你应该自建。如果你需要从第一天起就保证业务关键的邮件列表能进收件箱，或者每月抽不出几个小时来维护，那你多半不该自建。一条合理的折中路线是：接收邮件和个人发信自建，需要时把批量邮件和事务性邮件交给付费中继转发。
如果你决定动手，步骤很简单：在雷克雅未克或苏黎世下单一台 S2，用 Monero（XMR）付款（约 30 秒计入余额），在面板里申请 rDNS，然后开始搭建。想了解更完整的隐私主机全貌，请参阅我们的 Tor 中继应用场景和免 KYC VPS 搭建指南。