Postfix, DANE y cada ajuste hecho como es debido
De fábrica Postfix envía en claro cuando el otro extremo no ofrece TLS y acepta correo de cualquiera que diga ser cualquiera. Esta es la otra construcción: Postfix 3.10.13 con Dovecot para los logins, Rspamd para SPF, DKIM y DMARC, y postfix-tlspol para DANE y MTA-STS. Sin texto plano a la entrada ni a la salida, el puerto 25 nunca retransmite, un login es dueño de sus direcciones en el sobre y en la cabecera From, los dominios de remitente que no existen se rechazan, y un mensaje manipulado o falsificado nunca pasa de DATA. Cada respuesta se capturó en un laboratorio sobre IPv4 e IPv6, junto a los cinco ajustes que no hacen nada en silencio hasta que algo más también está puesto, el valor por defecto de certbot que rompe DANE en la renovación, y lo que todo ello te cuesta en correo reenviado.