Um das tägliche Upate der spamassassin-Datenbank durchzuführen, muss das erst unter Debian aktiviert werden. Die Aktivierung erfolgt in der Datei /etc/default/spamassassin:

# /etc/default/spamassassin
# Duncan Findlay

# WARNING: please read README.spamd before using.
# There may be security risks.

# If you're using systemd (default for jessie), the ENABLED setting is
# not used. Instead, enable spamd by issuing:
# systemctl enable spamassassin.service
# Change to "1" to enable spamd on systems using sysvinit:
ENABLED=1

# Options
# See man spamd for possible options. The -d option is automatically added.

# SpamAssassin uses a preforking model, so be careful! You need to
# make sure --max-children is not set to anything higher than 5,
# unless you know what you're doing.

OPTIONS="--create-prefs --max-children 5 --helper-home-dir"

# Pid file
# Where should spamd write its PID to file? If you use the -u or
# --username option above, this needs to be writable by that user.
# Otherwise, the init script will not be able to shut spamd down.
PIDFILE="/var/run/spamd.pid"

# Set nice level of spamd
#NICE="--nicelevel 15"

# Cronjob
# Set to anything but 0 to enable the cron job to automatically update
# spamassassin's rules on a nightly basis
CRON=1

Wenn der Cronjob mit der Fehlermeldung

error: unable to refresh mirrors file for channel updates.spamassassin.org, using old file
channel: could not find working mirror, channel failed
sa-update failed for unknown reasons

abbricht, dann liegt das an falschen Zugriffsberechtigungen im Verzeichnis /var/lib/spamassassin. Die Korrektur erfolgt mit:

# chown -R debian-spamd:debian-spamd /var/lib/spamassassin/

Normalerweise verwendet der Courier-Server für seine SSL-verschlüsselten Verbindungen (pop3-ssl und imap-ssl) selbstsignierte Zertifikate. Will man eigene offizielle Zertifikate verwenden, so müssen das Zertifikat und der private Schlüssel in einer Datei vorliegen.
Privater Schlüssel: /etc/ssl/example.com.key
Zertifikat: /etc/ssl/example.com.crt

cat /etc/ssl/example.com.key /etc/ssl/example.com.crt >> /etc/courier/imapd.pem

Ein zweiter Schritt ist ein starker DH-Schlüssel. Ich habe einen mit 4096 bits erstellt:

openssl dhparam -out /etc/courier/dhparams.pem 4096

Hintergrund für den starken Schlüssel: defaultmäßig wird ein DH-Schlüssel mit 768 bit ausgestellt. Dieser wird für z.B. von Thunderbird als (zu Recht) zu schwach empfunden und die Verbindung zum Courier-Server nicht aufgebaut.

Laut dem Wiki von Monit Enable SSL in Monit sind folgende Einträge in der Konfigurationsdatei /etc/monit/monitrc notwendig:

set httpd port 2812 and
    use address servername
    ssl enable
    PEMFILE /path_to_certificate/monit.pem
    allow user:passwort

Die PEM-Datei enthält dem privaten Schlüssel und das Zertifikat. Erzeugt habe ich die Datei mit:

cat domain.key domain.crt > monit.pem

Die Datei domain.key beinhaltet den privaten Schlüssel, die Datei domain.crt die komplette Zertifikatskette Server-Zertifikat – Intermidiate-Zertifikat – Root-Zertifikat.

Danach den Monit-Prozess neu starten (Befehl für systemd-Systeme):

systemctl restart monit.service

Befehl für SysV-Systeme unter Debian:

service monit restart

Der Monitserver ist jetzt mit https://servername:2812 erreichbar.