Capmail 2.0.4: sicurezza, autorizzazioni e cartelle IMAP

Capmail 2.0.4 è una versione dedicata alla sicurezza e all’affidabilità. Non aggiunge alcuna interfaccia: rafforza tutti gli accessi e corregge alcuni difetti che impedivano al modulo di funzionare presso alcuni provider di hosting. Include inoltre le modifiche della versione 2.0.3, che non era stata pubblicata.

Si raccomanda l'aggiornamento per tutte le installazioni, e in particolare per quelle che utilizzano Capmail in modalità multi-azienda o che assegnano diritti differenziati su più caselle di posta.

Sicurezza

È stata effettuata una revisione completa degli accessi.

• Segregazione multi-società: messaggi, caselle di posta, profili del mittente ed etichette vengono ora filtrati per entità a livello di modulo, anziché dipendere da un filtraggio indiretto tramite la casella di posta.
• Matrice dei diritti applicata ovunque: i diritti per utente e per casella di posta vengono verificati anche sulle azioni di massa, nella scheda Capmail della scheda terze parti, sulle credenziali trasmesse dai moduli e sul download degli allegati.
• Token anti-CSRF richiesto per le azioni che modificano i dati.
• Sanificazione dell’HTML delle e-mail prima della visualizzazione nell’ editor di risposta, in fase di stampa e nei selettori di modelli.
• Modelli e profili del mittente privati effettivamente limitati al loro proprietario.
• Rafforzamento della gestione degli allegati, delle intestazioni dei file EML e degli oggetti.
• Il controller REST verifica l’entità, i diritti sulla casella e la riservatezza; i punti di ingresso interni sono bloccati e i certificati TLS convalidati.

Gli accenti non vanno più persi

Un oggetto contenente accenti veniva privato dei caratteri accentati: Richiesta di prenotazione a Nîmes veniva registrato senza gli accenti né le lettere corrispondenti. L'oggetto veniva decodificato due volte e, al secondo passaggio, venivano eliminati tutti i caratteri non ASCII.

Il problema è stato risolto per i nuovi messaggi. I messaggi già ricevuti mantengono l'oggetto troncato registrato in quel momento.

È stato migliorato anche il riconoscimento del mittente, in particolare quando il suo indirizzo appartiene al dominio di posta elettronica dell’ azienda.

Cartelle IMAP: tre casi in cui non funzionava

Il sintomo era sempre lo stesso: Capmail considerava una cartella come inesistente, la copia nella cartella dei messaggi inviati veniva tralasciata senza alcun errore visibile e l'archiviazione tentava di ricreare cartelle già presenti.

• Server che utilizzano un punto come separatore (OVH MX Plan e molti server Dovecot): un percorso come INBOX.Sent non veniva riconosciuto.
• Cartelle il cui nome contiene un accento: i nomi delle cartelle vengono trasmessi con una codifica particolare che il modulo non riusciva a decodificare.
• Nomi di cartelle ambigui: due cartelle con lo stesso nome in cartelle padre diverse; il modulo ne sceglieva una a caso. Ora segnala l’ambiguità e invita a inserire il percorso completo.

Due nuovi strumenti di amministrazione

Il pulsante Rileva cartelle, nella scheda di una casella, interroga il server, confronta la configurazione con la realtà e propone i valori corretti sulla base degli attributi standard pubblicati dal server. Applica le cartelle rilevate le salva. Questo è ora il metodo consigliato: le convenzioni variano molto da un provider all’altro.

La scheda "Avanzate" aggiunge la riparazione delle cartelle con prefisso duplicato, del tipo INBOX.INBOX.Sent. Invisibili nella maggior parte dei servizi di webmail, accumulano messaggi che nessuno legge. Lo strumento sposta i messaggi nel percorso corretto, elimina la cartella svuotata e corregge i riferimenti interni; una simulazione mostra cosa verrebbe fatto, e la cartella viene eliminata solo dopo che i messaggi sono stati effettivamente spostati.

Invio: STARTTLS e certificati

• STARTTLS è effettivamente disponibile per l'SMTP di una casella di posta. L'opzione mancava nel modulo, il che rendeva inutilizzabile qualsiasi server che offrisse solo la porta 587.
• Il test di connessione SMTP esegue l'autenticazione. In precedenza si interrompeva prima dell'autenticazione: una password errata veniva segnalata come corretta e l'errore si manifestava solo al primo invio.
• La convalida del certificato TLS diventa un’impostazione per ogni casella di posta, attivata di default. Disattivarla permette di utilizzare un server con certificato autofirmato, caso comune nell’hosting autonomo.

Compatibilità per provider di hosting

I limiti effettivi sono stati verificati servizio per servizio:

• OVH, Free e i server Dovecot funzionano;
• Gmail funziona, ma è necessaria una password dell'applicazione;
• Outlook.com e Microsoft 365 non sono supportati: Microsoft ha eliminato l'autenticazione tramite password e non accetta più solo OAuth2, che il modulo non gestisce;
• Proton Mail non è supportato: nessun server IMAP pubblico è renderato accessibile.

Aggiornamento

Per riattivare il modulo, occorre applicare due modifiche al database: disattivare e poi riattivare Capmail dopo aver copiato i file. Non è necessario alcun intervento sulle caselle esistenti. Se dovessero mancare delle cartelle o se la copia nei messaggi inviati non avvenisse, eseguite Rileva cartelle su ciascuna casella.

Per gli sviluppatori

Il modulo mette a disposizione hook e trigger per i moduli di terze parti, avvia un'integrazione con Dolipocket e aggiunge una campagna di test automatizzati su server IMAP e SMTP reali, oltre ai test di isolamento per entità e di autorizzazione.