Een eigen mailserver opzetten en beheren: wat komt erbij kijken?

Voor een eigen mailserver heb je een server met een vast IP-adres en open poort 25 nodig, een domeinnaam, mailsoftware zoals Postfix en Dovecot, een certificaat en de juiste DNS-records: MX, PTR, SPF, DKIM en DMARC. Installeren is het kleinste deel van het werk; het meeste zit in het beheer daarna, van updates en spam tot zorgen dat Gmail en Outlook je mail blijven accepteren. Wil je vooral betrouwbaar mailen vanaf je eigen domein, dan is gehoste mail meestal de slimmere keuze.

In dit artikel lees je hoe een mailserver werkt en de mail laat aankomen, wat je nodig hebt, hoe je er stap voor stap een bouwt, waarom een mailserver thuis lastig is, hoe je een mailserver test en herstelt, en wanneer gehoste mail beter bij je past.

Wat doet een mailserver?

Een mailserver doet drie dingen: hij neemt mail voor jouw domein aan van andere mailservers, hij bewaart die mail in de juiste mailbox en hij verstuurt de mail die jij en je collega's schrijven. Daarvoor werken een paar programma's samen:

• Een MTA (mail transfer agent), zoals Postfix of Exim. Die praat SMTP met andere mailservers: hij neemt mail aan op poort 25 en levert uitgaande mail af bij de server van de ontvanger.
• Een IMAP- en POP3-server, zoals Dovecot. Daarmee haalt je mailprogramma de berichten op. Het verschil tussen die protocollen lees je in IMAP, POP3 en SMTP vergeleken.
• Een spamfilter, zoals Rspamd of SpamAssassin, dat binnenkomende mail beoordeelt. Rspamd kan uitgaande mail ook ondertekenen met DKIM.
• Webmail, zoals Roundcube, als je je mail ook in de browser wilt lezen.

Hoe bepaalt een mailserver waar de mail heen moet?

Verstuur je een bericht aan iemand@voorbeeld.nl, dan zoekt jouw mailserver in DNS het MX-record van voorbeeld.nl op. Dat record noemt de mailserver die mail voor dat domein aanneemt. Volgens de mailstandaard RFC 5321 gaat het dan zo:

1. Staan er meerdere MX-records, dan probeert de verzendende server eerst het record met het laagste getal, de voorkeur of prioriteit.
2. Reageert die server niet, dan probeert hij de volgende. Bij records met hetzelfde getal kiest hij willekeurig, zodat de mail over die servers verdeeld wordt.
3. Heeft een domein geen MX-record, dan valt de verzendende server terug op het A- of AAAA-record van het domein zelf. Een MX-record met alleen een punt, de null MX uit RFC 7505, betekent dat het domein helemaal geen mail ontvangt.
4. Lukt afleveren tijdelijk niet, dan probeert de verzendende server het later opnieuw.

Hoe je een MX-record opbouwt en instelt, lees je in wat is een MX-record.

Wat heb je nodig voor een eigen mailserver?

Poort 25 verdient extra aandacht bij het kiezen van een server. Bij Google Cloud, AWS, Microsoft Azure, Hetzner Cloud en DigitalOcean staat uitgaand verkeer op poort 25 standaard dicht. Bij AWS en Hetzner kun je vragen om het open te zetten, bij Azure hangt het af van je abonnementsvorm. Vraag het dus na voordat je een server huurt.

Een mailserver bouwen: de stappen

Heb je de onderdelen op een rij, dan bouw je een mailserver in deze volgorde:

1. Kies een server en controleer het IP-adres. Ga na of uitgaand poort 25 open is of open kan, en kijk bij Spamhaus of het IP-adres op een blokkadelijst staat. Een adres met een slechte reputatie maakt je start onnodig zwaar.
2. Geef de server een vaste naam. Kies een hostnaam zoals mail.jouwdomein.nl en maak er een A-record en, voor IPv6, een AAAA-record voor aan. Laat de eigenaar van het IP-adres een PTR-record instellen dat naar precies die naam wijst (zie verderop).
3. Installeer de software. Installeer de onderdelen los, bijvoorbeeld Postfix, Dovecot en Rspamd op Debian of Ubuntu, of gebruik een kant-en-klaar pakket uit de tabel hieronder.
4. Regel een certificaat. Vraag een certificaat aan voor mail.jouwdomein.nl, bijvoorbeeld bij Let's Encrypt, en laat het automatisch vernieuwen. Certificaten van Let's Encrypt zijn nu 90 dagen geldig; volgens Let's Encrypt wordt dat 64 dagen vanaf februari 2027 en 45 dagen in 2028. Laat je ACME-programma dus zelf bepalen wanneer het vernieuwt, in plaats van een vaste termijn in te stellen.
5. Zet de DNS-records klaar. Laat het MX-record van je domein naar mail.jouwdomein.nl wijzen en publiceer een SPF-record met het IP-adres van je server. Zet de publieke sleutel voor DKIM in DNS en begin met een DMARC-record met p=none, zodat je eerst rapporten krijgt voordat je strenger wordt.
6. Maak mailboxen en aliassen aan. Hieronder lees je hoe een mailserver die lijst bijhoudt.
7. Test alles. Stuur een bericht naar een Gmail- en een Outlook.com-adres en kijk in de headers of SPF, DKIM en DMARC op pass staan. De e-mailtest van internet.nl controleert je domein onder meer op DMARC, DKIM, SPF, STARTTLS en DANE.
8. Richt back-ups, updates en bewaking in. Pas dan is je mailserver klaar voor echte mail. Wat dat beheer inhoudt, lees je verderop.

Kant-en-klare pakketten

Wil je niet elk onderdeel los installeren en op elkaar afstemmen, dan zijn er pakketten die een complete mailserver in één keer neerzetten:

Hoe houdt een mailserver de lijst met mailadressen bij?

Een mailserver moet weten welke domeinen en adressen hij aanneemt, waar elke mailbox staat en welk wachtwoord erbij hoort. In Postfix staat dat in opzoektabellen, zoals de documentatie van Postfix beschrijft:

• virtual_mailbox_domains: de domeinen waarvoor de server mailboxen heeft.
• virtual_mailbox_maps: per e-mailadres de plek van de mailbox.
• virtual_alias_maps: aliassen en doorstuuradressen, bijvoorbeeld info@ naar het adres van een collega.

Op een kleine server staan die tabellen in tekstbestanden, die je na elke wijziging verwerkt met het commando postmap. Bij meer adressen leest Postfix ze rechtstreeks uit een database zoals MySQL of PostgreSQL, of uit LDAP. Dovecot controleert de wachtwoorden met zijn passdb en haalt de mailboxgegevens uit zijn userdb, vaak uit dezelfde database. De kant-en-klare pakketten geven je daarvoor een beheerscherm in de browser.

Bij LJPc hosting regel je dit zonder tabellen: je maakt een adres aan in het klantenportaal of in Plesk, zoals beschreven in e-mailadres aanmaken in het klantenportaal.

Een mailserver thuis of lokaal opzetten

Een mailserver op een computer of NAS thuis lijkt aantrekkelijk, maar loopt tegen een paar muren aan:

• Poort 25 is dicht. Veel internetaanbieders blokkeren uitgaand verkeer op poort 25 om spam tegen te gaan, waaronder Ziggo en Odido. Je server kan dan geen mail afleveren bij andere mailservers.
• Je IP-adres heeft geen reputatie als mailserver. IP-adressen van thuisaansluitingen kunnen op de Policy Block List van Spamhaus staan: een lijst met adressen van eindgebruikers die geen mail rechtstreeks bij mailservers horen af te leveren. Veel ontvangende servers gebruiken die lijst.
• Het PTR-record ligt bij je internetaanbieder. Het IP-adres is van je aanbieder, dus alleen die kan het PTR-record naar jouw mailserver laten wijzen.
• Stroom, internet en hardware. Valt je verbinding of je computer uit, of krijg je een ander IP-adres, dan komt er geen mail binnen tot je het hebt opgelost.

Wil je een mailserver leren kennen, draai hem dan op een VPS bij een aanbieder die poort 25 en een eigen PTR-record toestaat. Bouw je een website of app en wil je zien welke mail die verstuurt, gebruik dan een lokale testserver zoals Mailpit. Die vangt alle mail op en toont hem in je browser; doorsturen naar echte ontvangers gebeurt alleen als je dat zelf instelt.

Een PTR-record instellen voor je mailserver

Het PTR-record koppelt het IP-adres van je mailserver aan een naam. Gmail eist van elke verzender dat die naam weer naar hetzelfde IP-adres wijst. Zo regel je het:

1. Maak voor de hostnaam van je mailserver, bijvoorbeeld mail.jouwdomein.nl, een A-record aan met het IP-adres van je server, en voor IPv6 een AAAA-record.
2. Laat het PTR-record instellen door de eigenaar van het IP-adres: in het beheerpaneel van je VPS-aanbieder of via de support van je datacenter. In je eigen DNS-zone kun je het niet aanmaken.
3. Laat je mailserver zich met dezelfde naam melden. In Postfix is dat de instelling myhostname.
4. Controleer beide kanten: dig +short -x 203.0.113.10 moet mail.jouwdomein.nl geven en dig +short mail.jouwdomein.nl weer 203.0.113.10.

Verstuurt je server ook mail over IPv6, dan heeft ook dat IPv6-adres een PTR-record nodig. Alle details lees je in PTR-record: reverse DNS voor je e-mail uitgelegd.

Kan een mailserver gepingd worden?

Ja, als de firewall van de server ping (ICMP) toelaat. Een antwoord op ping zegt alleen dat de server aanstaat, niet dat de mail werkt, en een server die ping negeert kan prima mail aannemen. Test daarom de mailpoort zelf:

• Op Linux en macOS: nc -vz mail.jouwdomein.nl 25. Gaat de poort open, dan meldt nc dat de verbinding is gelukt. Met nc mail.jouwdomein.nl 25 zonder -vz zie je de begroeting van de server, een regel die begint met 220; typ QUIT om te stoppen.
• Op Windows in PowerShell: Test-NetConnection mail.jouwdomein.nl -Port 25. Gaat de poort open, dan staat er TcpTestSucceeded : True.
• Het certificaat controleer je met openssl s_client -starttls smtp -connect mail.jouwdomein.nl:25. Bij een geldig certificaat staat er Verify return code: 0 (ok).

Test je vanaf je thuisaansluiting en lukt het niet, probeer het dan vanaf een andere verbinding: blokkeert je internetaanbieder poort 25, dan mislukt de test ook bij een werkende server. Je mailprogramma gebruikt andere poorten. Bij LJPc hosting zijn dat 993 voor IMAP en 465 of 587 voor SMTP, op de server ljpc.email.

Inkomende mailserver herstellen als je geen mail meer ontvangt

Je mailprogramma bereikt de inkomende mailserver niet

Meldt je mailprogramma dat de inkomende mailserver niet reageert, dan ligt het meestal aan de instellingen of aan je wachtwoord. Loop deze stappen na:

1. Log in op de webmail. Lukt dat, dan werken de server en je wachtwoord. Bij LJPc hosting is dat ljpc.email.
2. Controleer de serverinstellingen. Bij LJPc hosting is de inkomende server ljpc.email, met poort 993 en SSL/TLS voor IMAP of poort 995 en SSL/TLS voor POP3, en je volledige e-mailadres als gebruikersnaam. Alle instellingen staan in e-mail instellen op je telefoon, tablet en computer.
3. Werkt het via mobiele data wel en via je eigen wifi niet, dan is je IP-adres mogelijk geblokkeerd na te veel foute inlogpogingen. In wat is fail2ban lees je hoe je dat herkent en laat opheffen.

Meer oorzaken en oplossingen vind je in e-mailproblemen oplossen.

Je eigen mailserver ontvangt niets meer

1. Controleer het MX-record met dig +short MX jouwdomein.nl. Wijst het nog naar je mailserver?
2. Controleer de hostnaam met dig +short mail.jouwdomein.nl. Klopt het IP-adres nog, bijvoorbeeld na een verhuizing naar een andere server?
3. Test poort 25 van buitenaf, zoals hierboven. Gaat de verbinding niet open, kijk dan naar de firewall van de server en die van je aanbieder.
4. Kijk of de mailsoftware draait, bijvoorbeeld met systemctl status postfix dovecot, en lees de maillog in /var/log/mail.log of in de systemd-journal.
5. Kijk naar de vrije schijfruimte met df -h. Bij een volle schijf weigert Postfix nieuwe mail tijdelijk.
6. Controleer het certificaat. Is het verlopen, dan weigeren servers die een geldige versleuteling eisen, bijvoorbeeld met DANE, de aflevering.
7. Bekijk de wachtrij met postqueue -p om te zien welke berichten vastzitten.

De mail is meestal niet verloren. Volgens RFC 5321 blijft een verzendende server het na een tijdelijke fout doorgaans minstens vier tot vijf dagen opnieuw proberen, dus los je het binnen die tijd op, dan komt de mail alsnog binnen.

Beheren: wat komt er na de installatie bij kijken?

Een mailserver is nooit af. Dit is het werk dat blijft:

• Updates en beveiliging. Installeer beveiligingsupdates op tijd, zorg dat je server geen open relay is die mail van iedereen doorstuurt, en blokkeer aanvallers die wachtwoorden proberen te raden, bijvoorbeeld met fail2ban.
• Bezorgbaarheid. Gmail vraagt van elke verzender SPF of DKIM, een kloppend PTR-record, TLS en een spampercentage onder 0,3 procent. Wie rond 5.000 berichten per dag of meer naar Gmail-adressen stuurt, heeft SPF, DKIM én DMARC nodig, plus afmelden met één klik voor marketingmail. Sinds november 2025 handhaaft Gmail dit strenger, tot en met het weigeren van mail. Microsoft stelt vergelijkbare eisen aan wie meer dan 5.000 berichten per dag naar Outlook.com-, Hotmail- en Live-adressen stuurt, en weigert mail die er niet aan voldoet met de foutcode 550 5.7.515.
• Reputatie bewaken. Eén gehackt account dat spam verstuurt, kan je IP-adres op een blokkadelijst zetten. Lees je DMARC-rapporten en kijk geregeld of je IP-adres op een lijst staat.
• Spam tegenhouden. Je spamfilter heeft onderhoud nodig: regels bijwerken, mail die onterecht als spam is gemarkeerd terugzetten en nieuwe spamgolven herkennen.
• Back-ups en herstel. Maak back-ups van de mailboxen, de configuratie en je DKIM-sleutels, en test of terugzetten werkt.
• Certificaten en DNS. Houd de automatische vernieuwing van je certificaat in de gaten. Gebruik je DANE, werk dan ook je TLSA-records bij; hoe dat werkt, lees je in wat is DANE.
• Bewaking. Laat je waarschuwen als de server of een poort onbereikbaar is, de schijf volloopt of de wachtrij groeit. Een storing om drie uur 's nachts is ook jouw storing.

Gmail als mailserver gebruiken

Zoek je de mailserver of de serverinstellingen van Gmail, dan wil je meestal je Gmail-adres in een ander mailprogramma gebruiken. De uitgaande mailserver van Gmail is smtp.gmail.com op poort 465 (SSL/TLS) of 587 (STARTTLS), de inkomende is imap.gmail.com op poort 993 (SSL/TLS). Je logt daar in met Inloggen met Google. Voor mail op je eigen domein heb je bij Google een Google Workspace-account nodig, of hosting met mail zoals bij LJPc hosting. Alle instellingen naast elkaar, en hoe je je eigen adres in de Gmail-app gebruikt, lees je in e-mail instellen in Gmail.

Eigen mailserver of gehoste mail: wat past bij jou?

Een eigen mailserver past bij je als je het vak wilt leren, als je een eis hebt die een hostingpartij niet invult, of als je een beheerder hebt die er structureel tijd voor heeft. Wil je vooral dat je mail aankomt en dat iemand anders de servers bijhoudt, dan is gehoste mail de slimmere keuze. Bekijk dan onze webhostingpakketten.

Wat LJPc hosting voor je regelt

• Onbeperkt mailboxen in elk webhostingpakket. Je maakt ze aan in het klantenportaal of in Plesk.
• Eén server voor al je apparaten: ljpc.email voor IMAP, POP3 en SMTP, met webmail op hetzelfde adres. Je zet je mail in een paar minuten op je telefoon en computer.
• Spamfilter aan de voordeur: inkomende mail komt binnen via onze spamgateways mx1.ljpc.email en mx2.ljpc.email. Valt er een uit, dan neemt een reservegateway het automatisch over. Wil je je spam zelf beheren, dan is er het premium spamfilter.
• DNS-records standaard goed: bij hosting met DNS bij ons staan MX, SPF, DKIM en DMARC voor je klaar. Is je domein bij ons geregistreerd en gebruikt het onze nameservers, dan regelen we ook DNSSEC en DANE voor je inkomende mail.
• Beveiliging: fail2ban blokkeert IP-adressen die te vaak een fout wachtwoord proberen.
• Hulp bij de overstap: stap je over van een eigen mailserver of een andere partij, dan helpen we je graag bij de migratie. Het stappenplan staat in e-mail verhuizen naar een nieuwe server.

Twijfel je tussen een eigen mailserver en mail bij ons? Bel 085 130 6429, mail naar support@ljpc.nl of maak een supportticket aan. We denken graag met je mee.