Postfix 如何配置 TLS 加密（ opportunistic vs enforced）？

Postfix 默认 smtpd_tls_security_level=may、smtp_tls_security_level=may：对端支持 STARTTLS 就加密，不支持就明文。目标是“尽量加密”而非强制，保证互通性。

设为 encrypt（或 dane/mta-sts）后，与对端必须成功 TLS 才投递，否则拒绝；适合内部或已知对端。需配好证书（公钥+链）与协议/密码套件白名单。

用 smtpd_tls_cert_file / smtpd_tls_key_file 指定证书；smtpd_tls_protocols=!SSLv2,!SSLv3,!TLSv1,!TLSv1.1 禁用弱协议；并开启 TLS 日志观察握手情况。

机会加密下攻击者可在中途剥离 STARTTLS（STRIPTLS）；对高安全域应升级到 MTA-STS/DANE 强制，而非仅靠 may。