Sulla porta 587 (submission, RFC 6409) il mail server accetta la posta da client, web app e dispositivi. La connessione parte in chiaro e passa a TLS con STARTTLS; poi AUTH è obbligatorio.
Porta 587 o 465? Vanno bene entrambe: la 465 usa TLS implicito ed è leggermente preferita dalla RFC 8314, la 587 funziona praticamente ovunque. Aprila in ingresso per i client; in Postfix configurala in master.cf con smtpd_tls_security_level=encrypt e smtpd_sasl_auth_enable=yes.
Errori tipici: Relay access denied (il client invia senza login), Must issue a STARTTLS command first, o un client su "SSL/TLS" invece di "STARTTLS" che resta appeso sulla 587.
Verifica
openssl s_client -starttls smtp -connect mail.esempio.it:587 -crlf