Stalwart Mail Server вместо Яндекс 360: установка в Docker, перенос ящиков и чем он отличается от mailcow

Почему компания должна платить за чужой сервер, если один современный процесс на её железе делает всё то же — почту, календари, контакты, антиспам? Каждая авария облачного дата-центра — аргумент за свой почтовый сервер, и Stalwart Mail Server — самый современный кандидат: один сервер на Rust, который сам умеет SMTP, IMAP, JMAP, POP3, календари и контакты, антиспам и сертификаты. Вместо набора из десятка компонентов — один процесс и одна панель. Разбираем, как перенести почту с Яндекс 360 на Stalwart и где у него пока ограничения.

Один сервер вместо облака и вместо зоопарка

Облачная почта удобна, пока чужой дата-центр работает. Когда он горит или обесточен, компания ждёт. Классический ответ — свой сервер на Postfix и Dovecot, но это набор из многих компонентов, которые нужно связать и обновлять вместе. Stalwart предлагает другой путь: один сервер, написанный с нуля на Rust, в котором всё уже есть.

Для небольшой компании это значит меньше движущихся частей: одна программа, одна конфигурация, одна панель администратора, одна резервная копия. Для администратора — меньше мест, где что-то может сломаться при обновлении.

Одна программа против целой зависимости

Облачная почта — это огромная машина, на которую вы не можете повлиять: её правила, её изменения, её аварии. Stalwart — противоположность: одна программа на Rust, одна панель, одна копия. Всё, что нужно компании для почты, — у вас, и ничего лишнего, что может сломаться.

Это выбор для тех, кто хочет не просто уйти из облака, а сделать это современно и легко. Без зоопарка компонентов, без тяжёлых требований к железу, без хозяина над вашей перепиской.

Что умеет Stalwart

Stalwart — почтовый сервер и сервер совместной работы с открытым кодом. Он принимает и отправляет почту по SMTP, отдаёт ящики по IMAP, POP3 и JMAP — современному протоколу на основе JSON, который быстрее IMAP на мобильных сетях. Через WebDAV поддерживаются календари и контакты по CalDAV и CardDAV. Встроены антиспам, подпись DKIM, проверка SPF и DMARC, автоматическое получение сертификатов, фильтры Sieve.

Хранилище выбирается под задачу: встроенная база для одного сервера или внешние PostgreSQL, MySQL, объектное хранилище S3 для крупных установок. Есть бесплатная редакция с открытым кодом и платная Enterprise с дополнительными функциями — состав редакций смотрите на сайте проекта на дату решения.

Чего в Stalwart нет

Встроенной веб-почты для пользователей в привычном виде нет: веб-интерфейс Stalwart — это панель администратора и самообслуживание учётной записи. Веб-почту ставят отдельно — Roundcube или SnappyMail, подключая их к Stalwart по IMAP и SMTP. Для многих компаний это не проблема: сотрудники работают в почтовых программах и на телефонах.

Но если в Яндекс 360 сотрудники жили в браузере, переход на почтовую программу — заметная перемена для них. Заложите время на объяснение и настройку: день в первую неделю после переключения, когда администратор помогает каждому, окупается отсутствием жалоб в следующие месяцы.

Второе — экосистема. У mailcow и iRedMail за плечами годы эксплуатации и множество описанных проблем и решений. Stalwart моложе, быстро развивается и меняется от версии к версии. Перед обновлением читайте примечания к выпуску: формат конфигурации между версиями менялся.

JMAP: зачем он нужен

IMAP придуман десятилетия назад и плохо подходит для телефонов: много отдельных запросов, постоянные соединения, медленная синхронизация на нестабильной сети. JMAP — современный протокол, где почта, календари и контакты передаются в формате JSON поверх HTTPS, а синхронизация делается меньшим числом запросов. Stalwart поддерживает его наравне с IMAP.

На практике большинство почтовых программ пока работает по IMAP, и сотрудники ничего не заметят. Но если компания планирует свои интеграции — автоматическую обработку писем, связку с CRM, — JMAP заметно проще для разработчиков, чем IMAP.

Хранилище: что выбрать

Для одного сервера на десятки или сотню ящиков подходит встроенная база по умолчанию — меньше компонентов, проще копирование. Если ящиков сотни и планируется кластер из нескольких серверов, данные выносят во внешнюю базу PostgreSQL или MySQL, а вложения и тела писем — в объектное хранилище. Решение стоит принять до переноса писем: менять хранилище на заполненном сервере сложнее.

Требования

Stalwart экономен: одному серверу для офиса на десятки человек достаточно пары ядер и нескольких гигабайт памяти. Остальное — как у любого своего почтового сервера: постоянный IP, PTR-запись на имя сервера, открытый исходящий порт 25, полное имя хоста вида mail.company.ru, диск под ящики с запасом и отдельная площадка для копий.

Установка в Docker

Самый простой способ — официальный образ. Создайте тома для конфигурации и данных и запустите контейнер с почтовыми портами и портом панели. При первом запуске Stalwart работает в режиме начальной настройки и печатает в журнал временный пароль администратора.

docker volume create stalwart-etc
docker volume create stalwart-data
docker run -d --name stalwart --restart unless-stopped \
  -p 443:443 -p 8080:8080 -p 25:25 -p 587:587 -p 465:465 \
  -p 143:143 -p 993:993 -p 4190:4190 \
  -v stalwart-etc:/etc/stalwart -v stalwart-data:/var/lib/stalwart \
  stalwartlabs/stalwart:v0.16
docker logs stalwart 2>&1 | grep -A8 'bootstrap mode'   # временный пароль администратора

Панель открывается по адресу http://сервер:8080/admin. Сразу смените временный пароль, укажите имя сервера и включите получение сертификата. Затем закройте порт 8080 от внешнего мира: панель администратора должна быть доступна только из офиса или через VPN. Для установки без Docker есть официальный скрипт для Linux.

Домен, ящики и DKIM

В панели добавьте домен компании. Stalwart сам генерирует ключ DKIM и показывает набор DNS-записей, которые нужно опубликовать: MX, SPF, DKIM, DMARC, записи автонастройки для почтовых программ. Это одно из удобных отличий — не нужно собирать записи вручную из разных мест.

Создайте учётные записи с теми же адресами, что в Яндекс 360, добавьте псевдонимы и группы для рассылок отделов. Для десятков ящиков используйте API или утилиту командной строки Stalwart вместо ручного создания. Общие ящики делаются как отдельные учётные записи с доступом для сотрудников.

Подготовка Яндекс 360

Стандартная для любого переезда: разрешить почтовые программы для организации, включить IMAP в ящиках, создать пароли приложений накануне — они начинают работать с задержкой. Подробно — в статье о подготовке Яндекс 360 к выгрузке.

Перенос писем

Stalwart принимает IMAP-подключения, поэтому письма переносятся imapsync, как на любой другой сервер. Опция --automap сопоставляет системные папки, повторный запуск докачивает только новое.

docker run --rm -v "$PWD":/var/tmp gilleslamiral/imapsync imapsync \
  --host1 imap.yandex.ru --ssl1 --user1 anna@company.ru --passfile1 /var/tmp/pass_yandex \
  --host2 mail.company.ru --ssl2 --user2 anna@company.ru --passfile2 /var/tmp/pass_new \
  --automap

Сначала перенесите один-два тестовых ящика и проверьте в почтовой программе: папки, русские названия, флаги «прочитано», вложения. Затем — все ящики по списку. На нашем стенде повторный проход по ящику из 755 писем не создал ни одного дубля, а дозаливка новых писем перед переключением заняла 4 секунды. Подробно — в статье «Перенос почты через imapsync».

Календари и контакты

Календари и контакты выгружаются из Яндекс 360 файлами iCalendar и vCard и импортируются в Stalwart через CalDAV и CardDAV — например, через Thunderbird или другой клиент, подключённый к обоим. Затем сотрудники подключают календари на телефонах. Общие календари и права создаются заново.

Проверьте после импорта повторяющиеся события и часовые пояса: при переносе между системами именно они чаще всего сдвигаются. Удалите старые аккаунты Яндекса на телефонах, чтобы события не задвоились.

Веб-почта

Если сотрудникам нужна веб-почта, поставьте Roundcube или SnappyMail рядом со Stalwart — в отдельном контейнере на том же сервере — и подключите по IMAP и SMTP. Веб-почту публикуйте через тот же HTTPS с действующим сертификатом. Если сотрудники привыкли к календарю в браузере, учтите, что его нужно будет решать отдельно — плагином веб-почты или отдельным приложением.

Антиспам и защита от перебора

Встроенный фильтр спама Stalwart проверяет SPF, DKIM, DMARC, репутацию отправителей и содержимое писем и умеет обучаться на письмах, которые пользователи отмечают как спам. В первые недели после переезда просматривайте карантин и отчёты фильтра: настройки по умолчанию подходят большинству, но пороги иногда приходится подстраивать под переписку компании.

От перебора паролей Stalwart защищает встроенной блокировкой адресов после серии неудачных входов. Проверьте, что она включена, и протестируйте её с отдельного адреса: несколько неверных паролей должны приводить к блокировке. Дополнительно ограничьте число писем в час на учётную запись — это защитит репутацию IP, если пароль сотрудника утечёт.

Телефоны и почтовые программы

Stalwart публикует данные автонастройки, и Thunderbird, Outlook и почта на iPhone находят параметры сервера по адресу и паролю, если записи автонастройки опубликованы в DNS. Для Android-клиентов, которые автонастройку не поддерживают, дайте сотрудникам короткую памятку: сервер mail.company.ru, IMAP 993 SSL, SMTP 587 STARTTLS или 465 SSL, логин — полный адрес. Календари и контакты на телефонах подключаются по CalDAV и CardDAV с теми же учётными данными.

Не забудьте устройства и системы, которые отправляют почту: 1С, сканеры, сайт. Для них заведите отдельные учётные записи с ограниченными правами.

Переключение

За сутки снизьте TTL записей MX и SPF и опубликуйте DKIM Stalwart. В выходной смените MX и SPF, запустите финальный проход imapsync с --maxage 2 по всем ящикам, через несколько часов — ещё один. Проверьте заголовки исходящих писем на внешних ящиках: spf=pass, dkim=pass, dmarc=pass. Порядок — в статье о MX, SPF, DKIM и DMARC при смене провайдера. Ящики Яндекс 360 оставьте на две-четыре недели.

Резервное копирование Stalwart

Одна программа — одна копия, но копировать нужно правильно. При встроенной базе копируйте тома с данными и конфигурацией, остановив контейнер на время снимка или используя снимки файловой системы, чтобы база не оказалась в несогласованном состоянии. При внешней базе — её штатными средствами, плюс тома конфигурации и объектное хранилище. Копия уходит на другую площадку у другого провайдера.

Дополнительный слой, который мы ставим клиентам независимо от сервера, — копия ящиков по IMAP на резервный сервер без удаления. Она не зависит от формата хранилища Stalwart и позволяет восстановить письма даже при проблемах с самим сервером. Проверка восстановления — раз в месяц, на тестовой машине.

План переезда по дням

Для офиса на 20–50 человек.

• день 1: сервер, Docker, Stalwart, сертификат, панель закрыта от интернета
• день 2: домен, DNS-записи из панели, учётные записи и псевдонимы
• день 3: пароли приложений в Яндекс 360, тестовый перенос двух ящиков
• день 4: перенос всех ящиков, повторный проход
• день 5: веб-почта, календари и контакты, памятка сотрудникам
• выходной: смена MX и SPF, финальный проход
• следующая неделя: телефоны, 1С, сканеры, сайт; ежедневный короткий проход

Stalwart или mailcow

Оба — свой сервер, оба в Docker, оба бесплатные в базовой версии. Разница в устройстве и зрелости.

• Stalwart: один процесс на Rust; mailcow: набор проверенных компонентов Postfix, Dovecot, Rspamd, SOGo
• Stalwart: JMAP и современные протоколы; mailcow: классические IMAP и SMTP
• Stalwart: веб-почта ставится отдельно; mailcow: SOGo с почтой и календарями в браузере
• Stalwart: меньше ресурсов; mailcow: от 6 ГБ памяти из-за антивируса
• Stalwart: моложе, быстро меняется; mailcow: годы эксплуатации и большое сообщество
• оба: копии на другую площадку обязательны

Кому подходит Stalwart

Небольшим и средним компаниям с администратором, который готов следить за развитием проекта, и тем, кому важны лёгкость и современные протоколы. Если нужна веб-почта с календарями из коробки и максимальная предсказуемость — берите mailcow, порядок переезда на него описан в статье о переносе почты на mailcow. Сравнение классических сборок — в статье «iRedMail, mailcow или Carbonio».

Регламент после переезда

Ежедневная копия томов с данными и конфигурацией на другую площадку, ежемесячная проверка восстановления на тестовой машине. Обновления — по выпускам проекта, после копии и чтения примечаний к выпуску, с проверкой на тестовой копии. Мониторинг очереди, места, сертификатов и чёрных списков. Панель администратора — только из офиса или через VPN, второй фактор для администраторов.

Частые вопросы