Bonjour,
 
J'ai mis en place une solution Dovecot / Postfix avec authentification Sasl et comptes virtuels (multi domaines) sur un serveur dédié pour un client.
 
J'ai remarqué que des spammeurs utilisaient ce serveur Postfix (smtp) pour envoyer des mails à des utilisateurs locaux (mail to: user@mondomaine.com). J'avais testé sur un autre serveur de test et j'avais réussi à filtrer correctement (authentification SMTP obligatoire à chaque requête entrante SMTP). Mais là en gros ça donne ça :
 
shell@grosvilains:#telnet mondomaine.com 25
Connected to mondomaine.com 25
Escape character is '^]'
220 mondomaine.com ESMTP Postfix (Debian/GNU)
mail from: toto@spam.com
rcpt to: user@mondomaine.com
250 2.1.5 Ok
data
354 End data with <CR><LF>.<CR><LF>
ceci est un test
.
250 2.0.0 Ok: queued as F17FF50ABCD
quit
221 2.0.0 Bye
 
L'utilisateur user@mondomaine.com reçoit ce mail.
 
Mon /etc/postfix/main.cf comporte pourtant :
 
smtpd_recipient_restrictions =  reject_invalid_hostname, reject_unknown_recipient_domain, reject_unauth_pipelining, permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination
 
(là en théorie ça devrait rejeter tout ce qui ni dans mon réseau (127.0.0.0/8) et non authentifié car ça agit sur le champ destinataire -rctp to: ).
 
J'ai testé sur d'autres smtp de fournisseurs (Free et Hostgator) et je peux reproduire l'envoi de ce mail si je connais un utilisateur local de ces serveurs.  
 
Es-ce moi qui n'ait pas totalement assimilé le fonctionnement de Postfix avec authentification Sasl ou il y a une subtilité (exemple Port 25 : non sécurisé = non Sasl ; utiliser le port smtps).
 
Merci de votre aide.

Pour moi c'est normal. Si tu as un serveur mail c'est fait pour recevoir des mails. Tes utilisateurs locaux sont des destinataires valides donc ton serveur les accepte.

Merci de ta réponse. J'ai fait des tests sur d'autres SMTP et effectivement c'est normal.  

Faudrait voir pour rendre ton postfix totalement virtuel et non pas des users locaux.
 
Peut être en flushant le my_destinations (de tête ça fait pas mal de temps que g pas touché à postfix)

Actuellement mon postfix est totalement virtuel (utilisation des bases virtuels avec virtual_mailbox_domains, virtual_mailbox_maps, virtual_mailbox_base et virtual_alias_maps).
mydestination est paramétré à localhost.
 
J'ai testé en telnet le SMTP de Gmail (alt1.gmail-smtp-in.l.google.com), Hostgator, Yahoo et Free et la transaction est identique à mon SMTP.  
 

C'est le comportement normal d'un serveur SMTP, il est là pour recevoir les mails.
Simplement, des regles de base (vérification du reverse DNS, RFC...) et un antispam devraient te permettre de te débarrasser de ces désagréments.