Installer Proxmox Mail Gateway sur un serveur dédié : relais anti-spam et antivirus

Proxmox Mail Gateway : relais mail anti-spam et antivirus

Proxmox Mail Gateway (PMG) est une passerelle de messagerie open source qui se place entre Internet et votre serveur de messagerie interne. Tout le trafic SMTP entrant et sortant passe par PMG, qui filtre les courriels indésirables, les virus, les chevaux de Troie et les tentatives de phishing avant qu'ils n'atteignent vos boites mail. Basé sur Debian, PMG intègre SpamAssassin pour la détection de spam, ClamAV pour l'analyse antivirus et Postfix comme agent de transfert SMTP (MTA).

La version 9.1, publiée en juin 2026, repose sur Debian 13 "Trixie" avec le noyau Linux 7.0, SpamAssassin 4.0.2, ClamAV 1.4.4 et PostgreSQL 17 pour stocker les statistiques et la quarantaine. Ce guide couvre l'installation de PMG sur un serveur dédié bare metal, la configuration du relais SMTP, le filtrage anti-spam et antivirus, et l'accès à l'interface web d'administration.

Prérequis

• Un serveur dédié avec un processeur 64 bits (Intel 64 ou AMD64), 4 Go de RAM minimum recommandés et au moins 8 Go d'espace disque ;
• Une adresse IP publique avec un enregistrement DNS inverse (PTR) correctement configuré ;
• Un accès console (IPMI, KVM-over-IP ou console de secours) pour installer depuis l'ISO ;
• Un serveur de messagerie interne opérationnel (Postfix, Stalwart, Exchange ou autre MTA) ;
• Les enregistrements DNS MX du domaine pointant vers l'adresse IP du serveur PMG.

Pour la sécurisation de l'accès SSH au serveur dédié avant l'installation, consultez notre guide sécuriser un serveur dédié : premiers réglages.

Installer PMG depuis l'ISO sur un serveur dédié

Proxmox Mail Gateway s'installe comme un système d'exploitation complet. L'installeur efface les disques sélectionnés et configure l'ensemble de la pile (Debian, Postfix, ClamAV, SpamAssassin, interface web). Téléchargez l'image ISO depuis le site officiel de Proxmox (section Downloads, Proxmox Mail Gateway) et chargez-la dans la console de votre serveur dédié.

Au démarrage sur l'ISO, l'assistant d'installation vous demande :

1. Le disque cible et le système de fichiers (ext4, XFS ou ZFS pour la redondance) ;
2. Le pays, le fuseau horaire et la disposition du clavier ;
3. Le mot de passe root et l'adresse mail de l'administrateur ;
4. La configuration réseau : nom d'hôte FQDN (ex. pmg.example.com), adresse IP, passerelle et serveur DNS.

L'installation dure quelques minutes. Après le redémarrage, PMG est accessible via l'interface web sur le port 8006.

Alternative : PMG dans une VM ou un conteneur LXC sur Proxmox VE

Si votre serveur dédié exécute déjà Proxmox VE, vous pouvez déployer PMG dans une machine virtuelle ou un conteneur LXC plutôt qu'en bare metal. Créez une VM avec 2 vCPU, 4 Go de RAM et 32 Go de disque, puis montez l'ISO PMG et suivez le même assistant d'installation. En LXC, utilisez le template Proxmox Mail Gateway disponible dans la liste des templates CT de Proxmox VE.

La VM doit disposer d'une adresse IP accessible depuis Internet (IP publique ou NAT avec redirection du port 25). Vérifiez que le pare-feu de l'hôte autorise le trafic SMTP entrant sur le port 25 vers la VM PMG. Pour configurer un pare-feu virtuel sur Proxmox VE, consultez notre guide installer pfSense dans une VM Proxmox.

Accéder à l'interface web d'administration

Ouvrez un navigateur et accédez à https://IP_DU_SERVEUR:8006. Connectez-vous avec l'utilisateur root et le mot de passe défini pendant l'installation. L'interface présente un tableau de bord avec les statistiques de filtrage en temps réel : courriels traités, spam bloqué, virus détectés, file d'attente SMTP.

Le tableau de bord affiche aussi l'état des services : Postfix (MTA), ClamAV (antivirus), SpamAssassin (anti-spam), PostgreSQL (base de données) et le service proxy PMG. Vérifiez que tous les services sont actifs avant de passer à la configuration du relais.

Pour surveiller les ressources du serveur en ligne de commande, consultez notre guide alertes et monitoring Linux.

Configurer le relais SMTP entrant

Pour que PMG filtre les courriels avant de les transmettre à votre serveur mail interne, configurez deux éléments dans l'interface web :

Domaines relais

Dans Configuration > Mail Proxy > Relay Domains, ajoutez chaque domaine dont PMG doit accepter le courrier (ex. example.com). PMG refusera les courriels destinés à des domaines non listés, ce qui évite l'open relay.

Serveur de destination (Default Relay)

Dans Configuration > Mail Proxy > Default Relay, indiquez l'adresse IP ou le nom d'hôte de votre serveur de messagerie interne. PMG transmettra les courriels filtrés à ce serveur via SMTP (port 25 par défaut) ou LMTP. Si votre serveur mail interne utilise Postfix, consultez notre guide installer Postfix sur un VPS Linux pour sa configuration.

Configurer le relais SMTP sortant

Pour filtrer aussi le courrier sortant, configurez votre serveur de messagerie interne pour relayer ses envois via PMG. Sur votre serveur Postfix interne, ajoutez dans /etc/postfix/main.cf :

relayhost = [IP_DU_SERVEUR_PMG]

PMG analyse alors les courriels sortants avec les mêmes règles anti-spam et antivirus, ce qui protège votre réputation IP et empêche l'envoi involontaire de spam si un compte est compromis.

Configurer les enregistrements DNS

Pour que le courrier entrant arrive sur PMG, modifiez les enregistrements MX de votre domaine dans la zone DNS :

example.com.  IN  MX  10  pmg.example.com.
pmg.example.com.  IN  A  203.0.113.10

Le serveur PMG doit avoir la priorité MX la plus basse (10) pour recevoir tout le courrier en premier. L'ancien serveur mail peut rester en MX secondaire (priorité 20) comme solution de repli. Vérifiez aussi le PTR (reverse DNS) de l'adresse IP du serveur PMG : il doit correspondre au FQDN du serveur. Sans PTR correct, les serveurs destinataires risquent de rejeter les courriels sortants.

Règles de filtrage anti-spam et antivirus

PMG applique un système de règles composé de trois éléments : un objet WHO (qui envoie ou reçoit), un objet WHAT (contenu du message), et une ACTION (accepter, rejeter, mettre en quarantaine). Les règles par défaut couvrent les cas courants :

Pour créer une règle personnalisée, naviguez dans Configuration > Rule System. Vous pouvez combiner plusieurs objets WHO et WHAT dans la même règle et définir l'action (quarantaine, rejet, notification ou acceptation).

ClamAV : configuration de l'antivirus

ClamAV est installé et activé par défaut avec PMG. Le démon freshclam met à jour les signatures de virus automatiquement (toutes les heures par défaut). Vérifiez le bon fonctionnement de la mise à jour des signatures depuis le terminal SSH :

systemctl status clamav-freshclam
freshclam -v

PMG affiche la date de la dernière mise à jour des signatures dans le tableau de bord. Si freshclam échoue (erreur réseau, miroir indisponible), le tableau de bord signale un avertissement. ClamAV 1.4.4 intégré à PMG 9.1 utilise le format de signatures Yara et supporte les archives chiffrées et les documents Office embarquant des macros.

SpamAssassin : régler le seuil anti-spam

SpamAssassin 4.0.2 analyse chaque courriel et lui attribue un score de spam. Plus le score est élevé, plus le message est suspect. PMG permet de configurer le seuil à partir duquel un courriel est classé comme spam dans Configuration > Spam Detector. Le seuil par défaut est 5 (sur une échelle ouverte). Un seuil à 3 augmente la détection mais risque des faux positifs. Un seuil à 7 réduit les faux positifs mais laisse passer davantage de spam.

SpamAssassin utilise des règles réseau (DNSBL, SPF, DKIM, DMARC) et des règles locales (expressions régulières, analyse bayésienne) pour calculer le score. Activez la vérification DKIM et SPF dans les options de SpamAssassin pour améliorer la précision du filtrage.

Gérer la quarantaine

Les courriels identifiés comme spam ou infectés sont stockés dans la quarantaine de PMG. L'interface web propose deux vues : la quarantaine administrateur (tous les courriels bloqués) et la quarantaine utilisateur (accessible via un lien envoyé par courriel aux destinataires). PMG 9.1 ajoute le chargement des images à la demande dans la prévisualisation des courriels en quarantaine, et l'affichage détaillé du score SpamAssassin (facteurs positifs et négatifs).

Configurez la durée de rétention des courriels en quarantaine dans Configuration > Spam Quarantine. La valeur par défaut est 7 jours. Au-delà, les courriels sont supprimés automatiquement. Pour sauvegarder les données de PMG vers un serveur de sauvegarde distant, consultez notre guide sauvegardes et haute disponibilité serveur dédié.

Intégration avec un serveur mail existant

L'intégration de PMG avec votre infrastructure mail existante dépend de votre MTA :

• Postfix : configurez relayhost dans main.cf pour le sortant, et modifiez le MX pour le entrant. La cohabitation est transparente ;
• Stalwart : dans la configuration SMTP de Stalwart, définissez PMG comme smarthost de sortie. Pour l'entrant, pointez le MX vers PMG et configurez le Default Relay vers l'IP de Stalwart ;
• Exchange : créez un connecteur d'envoi sortant pointant vers PMG, et un connecteur de réception pour accepter les courriels depuis l'IP de PMG ;
• Tout autre MTA : le principe est identique. PMG en MX pour l'entrant, relayhost vers PMG pour le sortant.

PMG supporte le TLS opportuniste pour le trafic inter-serveur. Activez le chiffrement TLS dans Configuration > Mail Proxy > Options pour sécuriser les échanges entre PMG et votre serveur mail interne. Pour vérifier vos certificats TLS, consultez notre guide vérifier un certificat TLS avec OpenSSL.

Sécuriser l'installation PMG

Après l'installation, appliquez ces mesures de sécurité sur le serveur dédié hébergeant PMG :

• Restreignez l'accès au port 8006 (interface web) par pare-feu. Seules les adresses IP d'administration doivent y accéder. N'exposez pas ce port sur Internet sans restriction ;
• Activez le certificat TLS Let's Encrypt pour l'interface web via Configuration > Certificates. PMG gère le renouvellement automatique via ACME ;
• Configurez un accès SSH par clé publique et désactivez l'authentification par mot de passe (sécuriser SSH sur Linux) ;
• Maintenez PMG à jour avec apt update && apt full-upgrade. Les mises à jour de sécurité incluent les correctifs pour Postfix, ClamAV et le noyau Linux (mettre à jour Proxmox sur serveur dédié).

Supervision et journaux

PMG enregistre tous les événements de filtrage dans ses journaux. Consultez-les depuis l'interface web dans Tracking Center pour rechercher un courriel par expéditeur, destinataire, sujet ou identifiant. Les journaux de Postfix sont aussi accessibles en SSH :

journalctl -u postfix@- --since "1 hour ago"

Le tableau de bord affiche les statistiques agrégées : volume par heure, ratio spam/légitime, nombre de virus interceptés. Pour une supervision avancée avec des graphiques historiques, connectez PMG à une pile de monitoring externe (Grafana et Prometheus sur serveur Linux).

Conclusion

Proxmox Mail Gateway transforme un serveur dédié en relais de filtrage mail complet, sans dépendre d'un service tiers payant par boite mail. Le déploiement en bare metal ou en VM sur Proxmox VE prend moins d'une heure, et la configuration du relais SMTP se fait intégralement depuis l'interface web. ClamAV et SpamAssassin assurent une protection multicouche, et la quarantaine permet aux utilisateurs de récupérer eux-mêmes les faux positifs. Pour dimensionner le serveur dédié qui hébergera PMG et vos autres services, consultez notre guide Proxmox VE helper scripts.