- Produsele sunt doar pentru administratorul platformei: toate paginile de administrare ale pachetului (Toolkit, Sign-up, Cashier, Mailbox API, Security, Backup) refuză acum și cheile API mailcow (mailcow dă rolul de admin oricărei cereri API, inclusiv cheilor doar de citire); adminii de domenii și utilizatorii cutiilor poștale, inclusiv un administrator conectat ca unul dintre ei, sunt trimiși înapoi în zona lor, ca până acum.
- Butonul „SOGo ca această cutie, într-un tab nou” e acum doar pentru administratorul platformei; adminii de domenii păstrează butonul SOGo al mailcow.
- Un test verifică faptul că fiecare pagină a pachetului e publică intenționat, doar pentru linia de comandă sau protejată de verificarea de administrator.
Istoric versiuni Security for mailcow
Toate versiunile publicate, cea mai nouă prima. Descărcările sunt în cont; abonamentele și perioada de probă primesc mereu ultima versiune, licențele lifetime primesc actualizări în fereastra lor de actualizări.
0.7.1
Ultima- Nou: Backup for mailcow (licență proprie, Sistem > Copii de siguranță): copii de siguranță programate și criptate ale mailcow, într-un folder local și pe Google Drive, cu rotație, verificare și restaurare din pagina de administrare.
- Copiile folosesc scriptul de backup al mailcow (e-mail, chei de criptare, redis, rspamd, postfix, baza de date — la alegere), puse într-o singură arhivă și criptate pe server cu GnuPG (AES-256, cu verificare de integritate) cu fraza ta, înainte să ajungă în folderul local sau pe Google Drive. Fiecare copie are un manifest (componente, mărimi, SHA-256, id-ul frazei, versiuni). Arhivele se decriptează și cu gpg simplu.
- Program: orele și zilele alese (ora serverului); o copie ratată se face o dată când serverul revine. Rotație: ultimele N copii local și ultimele N pe Google Drive. E-mail la eșec sau după fiecare copie.
- Google Drive cu propriul tău client OAuth Google (scope drive.file: modulul vede doar fișierele create de el), încărcare reluabilă pe bucăți de 32 MiB care continuă după o eroare de rețea, token criptat pe disc.
- Restaurare din pagină, locală sau de pe Google Drive, pe componente (confirmare scrisă): se verifică SHA-256, se decriptează arhiva și se restaurează componentele cu aceiași pași ca restaurarea mailcow, fără întrebările ei; restaurarea bazei de date oprește mailcow câteva minute. Secretele modulului rezistă unei restaurări redis. Verificarea decriptează și citește o copie întreagă fără s-o restaureze.
- Mai multe fraze: una nouă se aplică copiilor următoare, cele vechi se restaurează cu fraza lor; pe un server nou adaugi fraza veche și conectezi același client Google.
- Fără licență validă copiile programate și încărcările se opresc; verificarea, restaurarea și ștergerea funcționează în continuare, ca datele să poată fi recuperate oricând.
- Nou: Security for mailcow (licență proprie, Sistem > Securitate): detectarea atacurilor cu istoric, blocări prin fail2ban-ul mailcow (netfilter) și opțional Cloudflare, protecția conturilor și alerte.
- Citește la fiecare minut ce înregistrează deja mailcow (dovecot, postfix, SOGo și netfilter din redis-ul mailcow; jurnalul serverului web și autentificările eșuate în interfața / API-ul mailcow prin agentul gazdei). Evenimentele se păstrează pe minut în baza mailcow (implicit 90 de zile), deci istoricul rezistă tăierii logurilor de către mailcow; prima rulare importă ce mai păstrează mailcow.
- 13 reguli pentru ce scapă fail2ban-ului mailcow: forță brută lentă, password spraying, recidiviști (adrese blocate iar și iar de fail2ban), forță brută pe login web (SOGo, interfața mailcow, API), scanări de exploit-uri web și 404, testare de relay, scanări de protocol, valuri de spam, cutii țintite (atacuri distribuite), valuri de trimiteri, autentificări de la multe adrese și autentificări după eșecuri (o parolă ghicită). Pragul, fereastra, acțiunea și durata blocării se schimbă per regulă.
- Implicit doar monitorizare: incidentele spun ce s-ar fi făcut. Cu acțiunile automate pornite, adresele sunt blocate în denylist-ul fail2ban al mailcow (și, la alegere, ca reguli IP Access Cloudflare pentru gazdele web din spatele proxy-ului) pe durata regulii; regulile pe cont pot limita trimiterea sau opri autentificarea. Adresele private, cele de pe listele de excepții (a modulului și a mailcow), adresele serverului și adresele de pe care s-a intrat cu succes recent într-o cutie nu sunt blocate niciodată automat.
- Pagina: panou (totaluri pe 24 de ore, grafic pe 14 zile, cele mai active adrese, cutii țintite, incidente active), incidente (văzut, rezolvat, fals pozitiv cu excepție), căutare în evenimente, blocări (ale modulului, blocările temporare ale mailcow, denylist, istoric), o adresă (PTR, linkuri de căutare, blocare / excepție) și o cutie (autentificări pe adrese, eșecuri, trimiteri; oprirea autentificării, închiderea sesiunilor IMAP / POP3, schimbarea obligatorie a parolei, limita de trimitere), reguli, setări și jurnalul tuturor acțiunilor. Un scut roșu lângă meniul Sistem arată incidentele deschise ridicate / critice.
- Alerte pe e-mail și Telegram de la o severitate aleasă, cu limită pe oră, și un rezumat zilnic opțional. O blocare ștearsă din pagina Fail2ban a mailcow contează ca ridicată; blocările expirate se ridică și fără licență, iar uninstall.sh le ridică pe toate.
- Corectat: pagina de administrare Mailbox API apela o funcție din Sign-up pe care nu o încărca și cerea mailcow să adauge un script care nu există.