postmaster@

postmaster – контактное лицо, к которому следует обращаться при проблемах с хождением почты. Почтовая система обязательно должна принимать почту на этот специальный алиас.

В postfix по дефолту исключается из всех проверок адрес, указанный в параметре address_verify_sender, т.к. этот адрес должен быть всегда достижим в случае встречной обратной проверки отправителя. По дефолту address_verify_sender = postmaster@$mydomain. Т.о. по дефолту исключается только postmaster@$mydomain, т.е. если у вас имеется множество виртуальных доменов, вы, возможно, нарушаете RFC2821, не обеспечивая должного приёма почты для postmaster@some-virtualdomain.tld.

Внимание! В postfix 2.5.0 дефолтное значение address_verify_sender было изменено:

[Incompat 20070514] The default sender address for address verification
probes was changed from “postmaster” to “double-bounce”, so that
the Postfix SMTP server no longer causes surprising behavior by
excluding “postmaster” from SMTP server access controls.

Чтобы избежать нарушения RFC и не попасть в postmaster.rfc-ignorant.org, можно соответствующим образом настроить postfix.
main.cf:
smtpd_restriction_classes = pass_postmaster pass_postmaster = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, permit smtpd_recipient_restrictions = ..., check_recipient_access pcre:/etc/postfix/recipient_checks.pcre

/etc/postfix/recipient_checks.pcre:
/^postmaster\@/ pass_postmaster /^abuse\@/ pass_postmaster

Согласно RFC2142 адрес abuse@ так же должен быть достижимым, поэтому он тоже исключён из проверок.

Допустимые ограничения приёма почты на postmaster@

• Если клиент пытается послать почту на служебный алиас RCPT TO: <postmaster> (без указания домена), считается допустимым отвергать запросы с NULL envelope-from адресом (MAIL FROM: <>), т.к. адрес отправителя <postmaster> не должен использоваться в исходящей корреспонденции, и, соответственно, не может получать уведомления от роботов.
• Допустимо внесение задержки в smtp-сессию (tarpitting)
• Допустимо применение greylisting, т.к. RFC это не нарушает. Для этого модифицируем вышеописанный restriction_class pass_postmaster, при этом не забываем переопределить значение параметра address_verify_sender:

address_verify_sender = <> pass_postmaster = permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination, check_policy_service inet:127.0.0.1:60000, permit

И если используется postgrey, нужно не забыть убрать postmaster и abuse из /etc/postgrey/whitelist_recipients