1.1 确定需求：用户数量、并发连接数、存储大小、每日邮件量。
1.2 选择软件：Postfix+Dovecot最常用，或选择商业Exchange/MailEnable。
1.3 合规预查：确认是否涉及跨境个人数据、行业监管（金融、医疗需额外合规）。
2.1 选择提供商：对比带宽、公网IP数量、反垃圾能力、机房连通性（国际与中国大陆链路）。
2.2 购买方案：建议独立公网IP与BGP多线以提升到达率；选择可管理的快照备份服务。
2.3 合同条款：明确数据主权、日志保存期、应急恢复SLA与法律请求处理流程。
3.1 域名管理：确保对域名有完全管理权限（可修改MX、TXT、CNAME、A记录）。
3.2 备用DNS：配置主/备DNS服务，避免单点故障。
3.3 记录规划：提前规划MX、A、AAAA、PTR（通过托管商申请反向记录）、SPF/DKIM/DMARC位置与内容。
4.1 系统安装：建议使用稳定Linux发行版（如Ubuntu LTS/CentOS Stream），关闭不必要服务并做安全更新。
4.2 邮件软件：安装Postfix（MTA）、Dovecot（IMAP/POP3）、Openssl或Let's Encrypt用于TLS。
4.3 配置要点：设置主机名与FQDN，Postfix myhostname、mydomain、mydestination；启用SMTP AUTH与STARTTLS/SMTPS。
5.1 SPF：添加TXT记录，例如 "v=spf1 ip4:你的服务器IP include:第三方 -all"。
5.2 DKIM：安装opendkim，生成密钥对，添加public key到DNS TXT，配置Postfix milter。
5.3 DMARC：添加TXT "v=DMARC1; p=quarantine; rua=mailto:postmaster@domain.com" 并逐步从none到quarantine再到reject。
5.4 PTR/rDNS：由托管商将服务器IP的PTR设置为你的邮件FQDN，避免被判为垃圾邮件。
6.1 端口开放：SMTP 25（传入/传出）、Submission 587（客户提交）、SMTPS 465（如使用）、IMAP 143/993、POP3 110/995。
6.2 防火墙规则：只允许必要端口，限制管理面板IP，启用fail2ban防止暴力破解。
6.3 TLS证书：为SMTP/IMAP用证书（Let's Encrypt或商业证书），强制TLS最低版本并禁用旧版弱加密套件。
7.1 评分引擎：集成SpamAssassin或rspamd做垃圾邮件评分与规则。
7.2 黑名单与灰名单：结合RBL、灰名单机制并设置合理的白名单。
7.3 发送策略：限制每用户/每IP的发信速率，启用退信处理与监控异常抛发行为。
8.1 迁移前备份：完整备份原服务器邮件、用户数据库、过滤规则与证书。
8.2 迁移方法：使用imapsync同步邮箱或导出/导入工具；逐步迁移小批量用户先行验证。
8.3 测试清单：验证MX解析、SPF/DKIM/DMARC生效、端到端加密、发件到达率、接收和退信处理。
9.1 日志保存：保存smtp/dovecot日志并定期归档，设置告警（硬盘、队列膨胀、退信率激增）。
9.2 备份策略：增量每日备份、全量周备、异地备份（建议香港以外的备份地）。
9.3 灾备与演练：制定恢复流程，定期做演练，记录恢复时间目标（RTO）与恢复点目标（RPO）。
10.1 香港法律：香港有《个人资料（私隐）条例》（PDPO），需合理处理个人资料并有隐私政策。
10.2 跨境传输：若涉及向中国内地或其他司法区传输数据，应评估目标地法律与必要的用户同意或合同条款。
10.3 应对司法请求：与托管商确认法律请求处理流程，保存必要的访问与审核日志。
问：中小企业把邮件服务器放香港托管是否需要在香港做ICP备案？
答：香港没有大陆那样的ICP备案制度，通常不需要在香港申请ICP备案；但要注意须符合香港PDPO等隐私法规，并在合同/隐私声明中告知用户数据存放与处理地点。若邮件服务同时面向中国大陆用户，需关注中国相关网络与数据传输规定。
问：如何最大化邮件到达率（deliverability）？
答：关键在于配置完整的邮件认证（SPF、DKIM、DMARC）、设置PTR/rDNS、维持干净IP声誉、限制发信速率、处理退信、关注黑名单并配置反馈回路（FBL）。使用ESP历史数据或第三方监测工具定期检测到达率。
问：涉及跨境个人数据时有哪些实操合规建议？
答：先做数据影响评估（DPIA），明确数据类别与用途，取得用户同意或签署合同条款，采取加密传输与存储、最小化数据保留、在SLA中写明司法请求与数据访问流程，并咨询法律意见以确保符合目的地法规。
