Iedereen zegt: draai geen eigen mailserver. Wij doen het als beroep. Clustering met twee knooppunten, bezorgbaarheid als saaie correctheid, waarom hygiëne bij inkomende mail je reputatie bij uitgaande mail is, en monitoring die verbindt zoals een echt mailprogramma.
Vraag om je heen en je hoort overal hetzelfde advies: draai geen eigen mailserver. Bezorgbaarheid is zwarte magie, de grote providers zullen je niet vertrouwen, één fout en je zit in elke spammap op aarde. Dat advies is grotendeels juist, voor een hobbyproject. Wij draaien mailservers als beroep, dus deze post is de tegenhanger: wat het werkelijk kost om het in 2026 goed te doen. Deel 3 van de reeks.
Mail moet overleven dat een machine sterft, dat er een kernelpatch komt, dat een uitrol misgaat. Er is bij email.eu dus geen enkele mailserver; er zijn twee Stalwart-knooppunten, mx en mx2, die als één cluster draaien en via een kleine gedeelde opslag met elkaar afstemmen. De mailservers van de wereld zien ze beide en bezorgen bij een van de twee. Je mailprogramma praat met een adres achter een verdeler, dus een knooppunt kan wegvallen zonder dat je programma het merkt.
Dat klinkt als gewone techniek, en dat is het ook. De reden dat het het zeggen waard is, is dat een verrassende hoeveelheid gehoste e-mail, ook bij providers die je zou herkennen, één machine met goede bedoelingen is. Twee knooppunten is het verschil tussen "onderhoudsvenster" en niemand die iets merkt.
Bezorgbaarheid is reputatie, en reputatie is de opeenstapeling van saaie correctheid. De uitgaande kant van onze opzet:
dig op los te laten zijn precies de klanten die we willen, dus de records staan er om gecontroleerd te worden.De inkomende kant is net zo belangrijk, want hygiëne bij inkomende mail is reputatie bij uitgaande mail. We controleren DMARC streng op aankomende mail, en we houden misdragende clients bij op hun echte adres. Dat tweede punt is subtieler dan het klinkt: servers achter een verdeler zien normaal bij elke verbinding het adres van die verdeler, waardoor één misbruikend IP-adres niet te onderscheiden is van een legitieme klant. De onze spreken het PROXY-protocol met de verdeler, die het echte adres doorgeeft, zodat limieten en reputatie precies blijven over wie er werkelijk aanklopt.
TLS op een mail-endpoint heeft een storingsvorm die de meeste monitoring mist: een certificaat kan geldig en vertrouwd zijn en tóch niet de exacte hostnaam dekken waar een streng mailprogramma op staat, en een gewone controle blijft groen, want het certificaat is immers geldig. De enige vraag die uitmaakt is die het programma stelt: dekt dit certificaat precies de naam waarmee ik verbind?
Dus dat is de vraag die wij bewaken. Een waakhond verbindt elke dag met de mail-endpoints zoals een echt programma dat zou doen en controleert het certificaat tegen een vaste lijst van de hostnamen die programma's werkelijk gebruiken. Laat een vernieuwing ooit een naam vallen, dan horen we het diezelfde dag van de waakhond en niet van een supportticket.
Elke postbus die we zelf gebruiken draait op het platform, ingericht via dezelfde aanmeld- en livegangstappen als bij elke klant. Dat is opzet. Verslechtert de bezorgbaarheid, dan voelen wij het voor jou, in onze eigen inbox, op onze eigen facturen aan echte tegenpartijen.
Zowel Stalwart als onze webmail spreekt JMAP, de moderne opvolger van IMAP, ontworpen door de mensen achter Fastmail. IMAP werkt nog voor elk klassiek programma, maar JMAP is waarom de webmail direct aanvoelt: één efficiënte verbinding in plaats van een babbelend protocol uit de jaren negentig dat map voor map werkt. Het is ook hoe onze beheeromgeving het mailcluster zelf beheert. Inzetten op het moderne protocol terwijl we het oude volledig blijven ondersteunen is hetzelfde standpunt over open standaarden dat we beschreven in Je data is van jou: de oprit en de afrit blijven beide open.
Hierna in de reeks: identiteit. Zeven producten, één inlog, en waarom de inlogdienst dezelfde paranoia krijgt als het mailcluster.