Capmail 2.0.4: Sicherheit, Berechtigungen und IMAP-Ordner

Capmail 2.0.4 ist eine Version, die auf Sicherheit und Zuverlässigkeit ausgerichtet ist. Sie führt keine neuen Funktionen ein, sondern verschärft die Zugriffsbedingungen und behebt Fehler, die den Betrieb des Moduls bei einigen Hosting-Anbietern verhindert haben. Sie übernimmt zudem die Änderungen aus der Version 2.0.3, die nicht veröffentlicht worden war.

Das Update wird für alle Installationen empfohlen, insbesondere für solche, bei denen Capmail in einer Multi-Unternehmensumgebung eingesetzt wird oder bei denen unterschiedliche Berechtigungen für mehrere Postfächer vergeben werden.

Sicherheit

Es wurde eine umfassende Überprüfung der Zugriffsrechte durchgeführt.

• Unternehmensübergreifende Trennung: Nachrichten, Postfächer, Absenderprofile und Labels werden nun nach Unternehmen auf Modulebene gefiltert, anstatt von einer indirekten Filterung über das Postfach abzuhängen.
• Durchgängig angewandte Berechtigungsmatrix: Die Berechtigungen pro Benutzer und pro Postfach werden auch bei Massenaktionen, auf der Registerkarte „Capmail“ des Drittanbieter-Datensatzes, bei den über Formulare übermittelten Anmeldedaten sowie beim Herunterladen von Anhängen überprüft.
• Anti-CSRF-Token ist für Aktionen erforderlich, die Daten ändern.

• HTML-Sanierung von E-Mails vor der Anzeige im Antworteditor, beim Drucken und in den Vorlagenauswahlen.

• Private Vorlagen und Absenderprofile sind tatsächlich auf ihren Eigentümer beschränkt.
• Verschärfte Verarbeitung von Anhängen, Kopfzeilen von EML-Dateien und Betreffzeilen.
• Der REST-Controller überprüft die Entität, die Berechtigungen für das Postfach und die Vertraulichkeit; interne Einstiegspunkte werden blockiert und die TLS-Zertifikate validiert.

Die Akzente gehen nicht mehr verloren

Bei einem Betreff mit Akzenten wurden die Zeichen mit Akzenten entfernt: Reservierungsanfrage in Nîmes wurde ohne die Akzente und die entsprechenden Buchstaben gespeichert. Der Betreff wurde zweimal dekodiert, wobei beim zweiten Durchlauf alle Nicht-ASCII-Zeichen entfernt wurden.

Bei neuen Nachrichten wurde dies behoben. Bei bereits empfangenen Nachrichten bleibt der damals gespeicherte, abgeschnittene Betreff erhalten.

Auch die Erkennung des Absenders wurde verbessert, insbesondere wenn dessen Adresse zur E-Mail-Domain des Unternehmens gehört.

IMAP-Ordner: Drei Fälle, in denen es nicht funktionierte

Das Symptom war immer dasselbe: Capmail betrachtete einen Ordner als nicht vorhanden, die Kopie im Ordner „Gesendete Nachrichten“ wurde ohne sichtbaren Fehler nicht angelegt, und die Archivierung versuchte, bereits vorhandene Ordner erneut zu erstellen.

• Server, die einen Punkt als Trennzeichen verwenden (OVH MX Plan und viele Dovecot-Server): Ein Pfad wie INBOX.Sent wurde nicht erkannt.
• Ordner, deren Name Akzente enthält: Die Ordnernamen werden in einer speziellen Kodierung übertragen, die das Modul nicht dekodieren konnte.
• Mehrdeutige Ordnernamen, zwei Ordner mit demselben Namen unter verschiedenen übergeordneten Ordnern: Das Modul wählte einen davon zufällig aus. Es meldet nun die Mehrdeutigkeit und fordert zur Eingabe des vollständigen Pfads auf.

Zwei neue Verwaltungstools

Die Schaltfläche Ordner erkennen auf der Detailansicht einer Box fragt den Server ab, vergleicht die Konfiguration mit der tatsächlichen Situation und schlägt anhand der vom Server veröffentlichten Standardattribute die richtigen Werte vor. Mit Erkannte Ordner anwenden werden diese gespeichert. Dies ist nun die empfohlene Vorgehensweise: Die Konventionen variieren stark von einem Hosting-Anbieter zum anderen.

Die Registerkarte „Erweitert“ fügt die **Reparatur von Ordnern mit doppeltem Präfix ** hinzu, beispielsweise vom Typ INBOX.INBOX.Sent. Diese sind in den meisten Webmail-Programmen nicht sichtbar und sammeln E-Mails an, die niemand liest. Das Tool verschiebt deren Nachrichten in den richtigen Pfad, löscht den leeren Ordner und korrigiert die internen Verweise; eine Simulation zeigt, was geschehen würde, und der Ordner wird erst gelöscht, sobald seine Nachrichten tatsächlich verschoben wurden.

Versand: STARTTLS und Zertifikate

• STARTTLS wird tatsächlich angeboten für das SMTP eines Postfachs. Die Option fehlte im Formular, wodurch alle Server, die nur den Port 587 anbieten, unbrauchbar waren.
• Der SMTP-Verbindungstest führt eine Authentifizierung durch. Zuvor wurde der Test vor der Authentifizierung abgebrochen: Ein falsches Passwort wurde als erfolgreich gemeldet, und der Fehler trat erst beim ersten Versand auf.
• Die Überprüfung des TLS-Zertifikats ist nun eine pro Postfach einstellbare Option, die standardmäßig aktiviert ist. Durch Deaktivieren kann ein Server mit selbstsigniertem Zertifikat verwendet werden, was beim Selbsthosting häufig der Fall ist.

Kompatibilität nach Webhost

Die tatsächlichen Grenzwerte wurden Abteilung für Abteilung überprüft:

• OVH, Free und Dovecot-Server funktionieren;
• Gmail funktioniert, allerdings ist ein App-Passwort erforderlich;
• Outlook.com und Microsoft 365 werden nicht unterstützt: Microsoft hat die Passwort-Authentifizierung abgeschafft und akzeptiert nun nur noch OAuth2, das vom Modul nicht unterstützt wird;
• Proton Mail wird nicht unterstützt: Es ist kein öffentlicher IMAP-Server verfügbar.

Aktualisierung

Bei der Reaktivierung des Moduls werden zwei Änderungen an der Datenbank vorgenommen: Deaktivieren Sie Capmail und aktivieren Sie es anschließend wieder, nachdem Sie die Dateien hochgeladen haben. Bei bestehenden Postfächern sind keine Maßnahmen erforderlich. Sollten Ordner fehlen oder sollte die Kopie in den gesendeten Nachrichten nicht erstellt worden sein, führen Sie für jedes Postfach den Befehl Ordner erkennen aus.

Für Entwickler

Das Modul stellt Hooks und Trigger für Module von Drittanbietern bereit, leitet eine Integration mit Dolipocket ein und fügt eine Kampagne mit automatisierten Tests auf echten IMAP- und SMTP-Servern hinzu, zusätzlich zu den Isolationstests pro Entität und den Autorisierungstests.