La porta 995 è POP3 su TLS implicito. Il client scarica i messaggi, che di default vengono poi cancellati dal server. Ha senso solo per archiviazione, sistemi di ticketing o un solo client.
Aprila al pubblico solo se hai davvero utenti POP3. Altrimenti disattiva POP3 del tutto – in Dovecot togli pop3 da protocols – e riduci la superficie d'attacco.
Tipico: "lascia una copia sul server" non è attivo e le mail mancano sugli altri dispositivi, oppure un sistema di ticketing scarica duplicati perché il controllo UIDL non funziona.
Verifica
openssl s_client -connect mail.esempio.it:995 -servername mail.esempio.it