Capmail 2.0.4: seguridad, permisos y carpetas IMAP

Capmail 2.0.4 es una versión centrada en la seguridad y la fiabilidad. No añade ninguna interfaz: refuerza todos los accesos y corrige los fallos que impedían que el módulo funcionara en algunos proveedores de alojamiento. También incorpora los cambios de la versión 2.0.3, que no llegó a publicarse.

Se recomienda la actualización para todas las instalaciones, y especialmente para aquellas que utilizan Capmail en un entorno multiempresa o que otorgan derechos diferenciados en varios buzones.

Seguridad

Se ha llevado a cabo una revisión exhaustiva de los accesos.

• Segregación multiempresa: los mensajes, los buzones de correo, los perfiles de remitente y las etiquetas se filtran ahora por entidad a nivel del módulo, en lugar de depender de un filtrado indirecto a través del buzón de correo.
• Matriz de derechos aplicada en todas partes: los derechos por usuario y por buzón se verifican también en las acciones masivas, en la pestaña Capmail de la ficha de terceros, en los datos de identificación transmitidos por los formularios y en la descarga de archivos adjuntos.
• Se exige un token anti-CSRF en las acciones que modifican datos.
• Limpieza del HTML de los correos electrónicos antes de su visualización en el editor de respuestas, al imprimirlos y en los selectores de plantillas.
• Plantillas y perfiles de remitente privados limitados efectivamente a su propietario.
• Refuerzo de la seguridad en el tratamiento de los archivos adjuntos, las cabeceras de los archivos EML y los asuntos.
• El controlador REST comprueba la entidad, los derechos sobre el buzón y la confidencialidad; se bloquean los puntos de entrada internos y se validan los certificados TLS.

Ya no se pierden los acentos

En un asunto que contenía acentos se eliminaban los caracteres acentados: «Solicitud de reserva en Nîmes» se registraba sin los acentos ni las letras correspondientes. El asunto se descodificaba dos veces, y en la segunda pasada se eliminaban todos los caracteres no ASCII.

Ya se ha corregido para los mensajes nuevos. Los mensajes ya recibidos conservan el asunto truncado que se guardó en su momento.

También se ha mejorado la identificación del remitente, sobre todo cuando su dirección pertenece al dominio de correo electrónico de la empresa.

Carpetas IMAP: tres casos en los que no funcionaba

El síntoma era siempre el mismo: Capmail consideraba que una carpeta no existía, la copia en la carpeta de mensajes enviados se descartaba sin que apareciera ningún error visible, y el sistema de archivado intentaba volver a crear carpetas que ya existían.

• Servidores que utilizan un punto como separador (OVH MX Plan y muchos servidores Dovecot): una ruta como INBOX.Sent no se reconocía.
• Carpetas cuyo nombre contiene un acento: los nombres de las carpetas se transmiten con una codificación específica que el módulo no descodificaba .
• Nombres de carpetas ambiguos: cuando había dos carpetas con el mismo nombre en carpetas principales diferentes, el módulo elegía una al azar. Ahora señala la ambigüedad y pide que se introduzca la ruta completa.

Dos nuevas herramientas de administración

El botón Detectar carpetas, en la ficha de un buzón, consulta el servidor, compara la configuración con la realidad y propone los valores correctos a partir de los atributos estándar publicados por el servidor. Aplicar las carpetas detectadas las guarda. Este es ahora el método recomendado: las convenciones varían mucho de un proveedor de alojamiento a otro.

La pestaña «Avanzado» añade la reparación de las carpetas con prefijo duplicado, del tipo INBOX.INBOX.Sent. Invisibles en la mayoría de los clientes de correo web, acumulan mensajes que nadie lee. La herramienta traslada sus mensajes a la ruta correcta, elimina la carpeta vacía y corrige las referencias internas; una simulación muestra lo que se haría, y la carpeta solo se elimina una vez que sus mensajes se han trasladado efectivamente.

Envío: STARTTLS y certificados

• STARTTLS está realmente disponible para el SMTP de un buzón. Esta opción no aparecía en el formulario, lo que hacía que no se pudiera utilizar ningún servidor que solo ofreciera el puerto 587.
• La prueba de conexión SMTP realiza la autenticación. Antes se detenía antes de la autenticación: una contraseña errónea se consideraba correcta, y el error solo aparecía al realizar el primer envío.
• La validación del certificado TLS pasa a ser una configuración por buzón, activada por defecto. Desactivarla permite utilizar un servidor con certificado autofirmado, algo habitual en el autoalojamiento.

Compatibilidad por proveedor de alojamiento

Los límites reales se han comprobado servicio por servicio:

• OVH, Free y los servidores Dovecot funcionan;
• Gmail funciona, pero es obligatorio utilizar una contraseña de aplicación;
• Outlook.com y Microsoft 365 no son compatibles: Microsoft ha eliminado la autenticación mediante contraseña y ya no admite que OAuth2, que el módulo no admite;
• Proton Mail no es compatible: no hay ningún servidor IMAP público expuesto.

Actualización

Se aplican dos cambios en la base de datos al reactivar el módulo: desactiva y vuelve a activar Capmail después de haber colocado los archivos. No es necesario realizar ninguna acción en los buzones existentes. Si faltaran carpetas o si la copia en los mensajes enviados no se realizara, ejecute Detectar carpetas en cada buzón.

Para desarrolladores

El módulo ofrece hooks y triggers para módulos de terceros, inicia una integración con Dolipocket y añade una campaña de pruebas automatizadas en servidores IMAP y SMTP reales, además de las pruebas de aislamiento por entidad y de autorización.