Webmail Seçenekleri: Roundcube, SOGo ve Snappymail

Mail sunucusunu kurdun, Postfix ve Dovecot çalışıyor, istemciler bağlanıyor. Geriye tek soru kalıyor: kullanıcılar tarayıcıdan e-postalarına nasıl erişecek? Webmail seçimi ilk bakışta zevk meselesi gibi görünür ama gerçekte üç somut kararı birden belirler — sunucuda ne kadar kaynak harcayacağın, kullanıcıların takvim ve kişi senkronizasyonu yapıp yapamayacağı ve ileride hangi özellikleri eklemenin mümkün olacağı.

Bu yazıda üç yaygın açık kaynak webmail'i karşılaştıracağım: Roundcube, SOGo ve Snappymail. Her birinin ne için tasarlandığını, hangi bağımlılıkları gerektirdiğini, hangi kaynak profiline sahip olduğunu ve hangi senaryoda doğru tercih olduğunu somut kriterlerle ele alacağım. Sonunda üçü için de geçerli olan ortak güvenlik ayarlarını ve ilk kurulumda en sık yapılan hataları bulacaksın.

Üçünün Kısa Kimliği#

Roundcube, klasik ve en yaygın seçenektir. PHP ile yazılmıştır, bir veritabanı gerektirir ve olgun bir eklenti ekosistemi vardır. Arayüzü masaüstü posta istemcisine benzer: üç panel, klasör ağacı, sürükle-bırak. Sieve filtreleri, şifre değiştirme ve takvim gibi özellikleri eklentilerle kazanır. Uzun süredir geliştiriliyor olması, panel entegrasyonlarında ve belgelerde ciddi bir avantaj sağlar.

Snappymail, RainLoop projesinden türemiş hafif bir webmail'dir. En belirgin farkı, varsayılan kurulumda SQL veritabanı gerektirmemesidir; ayarlarını ve kullanıcı verilerini dosya sisteminde tutar. Arayüzü modern ve hızlıdır, kurulumu birkaç dakikadır. Buna karşılık takvim ve kişi senkronizasyonu sunmaz; saf bir posta istemcisidir.

SOGo, diğer ikisinden farklı bir kategoridedir: bir webmail değil, tam bir grup çalışması (groupware) paketidir. Posta, takvim ve kişileri tek arayüzde birleştirir; CalDAV, CardDAV ve ActiveSync protokolleriyle telefon ve masaüstü istemcilere senkronizasyon sağlar. Karşılığında PostgreSQL ya da MySQL, memcached ve ters vekil (reverse proxy) yapılandırması ister; kaynak tüketimi de belirgin biçimde yüksektir.

Özellik Karşılaştırma Tablosu#

Kararı hızlandırmak için sırayla üç soru sor ve ilk "evet"te dur:

1. Kullanıcıların telefonlarında kurumsal takvim ve kişi listesi olacak mı? Evetse SOGo.
2. Kullanıcılar kendi filtrelerini, imzalarını ve şifrelerini arayüzden yönetecek mi? Evetse Roundcube.
3. Tek ihtiyaç tarayıcıdan posta okuyup yazmak mı? Evetse Snappymail.

Bu sıralamayı tersten okumak da işe yarar: gereksinim listen ne kadar kısaysa, o kadar hafif bir seçenekle yetinebilirsin. Sonradan Roundcube'dan Snappymail'e ya da tersine geçmek zor değildir, çünkü mesajlar zaten IMAP sunucusunda durur; taşınması gereken tek şey adres defteri ve imza gibi arayüz verileridir.

Tabloya bakarken en belirleyici satır takvim ve ActiveSync. Kullanıcıların telefonlarında kurumsal takvim ve kişi listesi görmesi gerekiyorsa karar zaten verilmiş demektir: SOGo. Böyle bir gereksinim yoksa Roundcube veya Snappymail arasındaki seçim çok daha rahat yapılır.

Kaynak Kullanımı ve Bağımlılıklar#

Kaynak tüketimi, küçük bir VDS üzerinde çalışıyorsan kararı doğrudan etkiler. Aşağıdaki tablo tam sayı vermiyor — gerçek rakam kullanıcı sayısına ve kutu boyutlarına göre değişir — ama büyüklük mertebelerini doğru yansıtıyor.

Snappymail'in veritabansız çalışması, tek başına ayakta duran küçük mail sunucularında ciddi bir sadelik avantajı sağlar: yedeklenecek tek şey dosya dizinidir, geri yükleme de dosya kopyalamaktan ibarettir. Roundcube'un veritabanı ise adres defteri, kimlikler ve eklenti verilerini tutar; yedekleme planına bunu ayrıca eklemen gerekir.

SOGo'nun üç ek servisi (veritabanı, memcached, ters vekil) yalnızca kaynak değil, bakım yükü de demektir. memcached çökerse kullanıcı oturumları düşer; ters vekil başlıkları yanlışsa arayüzdeki bağlantılar bozulur. Bu bileşenlerin nasıl kurulacağını SOGo kurulumu yazısında adım adım anlattım.

Roundcube: Ne Zaman Doğru Tercih#

Roundcube'u şu üç durumda seçerim: kullanıcıların sieve filtrelerini ve şifrelerini kendi başlarına yönetmesi gerekiyorsa, arayüzde kuruma özel bir davranış (imza şablonu, uyarı, entegrasyon) gerekiyorsa ve elinde zaten bir veritabanı sunucusu varsa.

Kurulumdan sonra ilk yapılacaklar bellidir. Yapılandırma dosyasında veritabanı bağlantısını, IMAP ve SMTP hedeflerini ve kullanacağın eklentileri tanımlarsın:

// config/config.inc.php
$config['db_dsnw'] = 'mysql://roundcube:[email protected]/roundcubemail';

$config['imap_host'] = 'ssl://mail.firmaniz.com:993';
$config['smtp_host'] = 'tls://mail.firmaniz.com:587';
$config['smtp_user'] = '%u';
$config['smtp_pass'] = '%p';

// Sieve filtreleri ve şifre değiştirme
$config['plugins'] = ['managesieve', 'password', 'zipdownload'];
$config['managesieve_host'] = 'localhost';
$config['managesieve_port'] = 4190;

// Kurulum sihirbazını kapat
$config['enable_installer'] = false;

Son satır isteğe bağlı değildir. Roundcube'un kurulum sihirbazı, açık bırakıldığında veritabanı bilgilerini ve yapılandırmayı dışarıya gösterir. Kurulum biter bitmez hem bu ayarı false yap hem de installer dizinini sil:

rm -rf /var/www/roundcube/installer
chown -R www-data:www-data /var/www/roundcube/temp /var/www/roundcube/logs
chmod 640 /var/www/roundcube/config/config.inc.php

managesieve eklentisi, kullanıcıların tatil yanıtı ve filtre kurallarını arayüzden tanımlamasını sağlar; bu tarafın sunucu ayarlarını otomatik yanıt kurulumu yazısında ele aldım.

Snappymail: Ne Zaman Doğru Tercih#

Snappymail'i küçük ölçekli kurulumlarda, tek amaçlı mail sunucularında ve veritabanı kurmak istemediğin durumlarda seçerim. Kurulumu gerçekten kısadır: arşivi web köküne aç, izinleri ver, tarayıcıdan yönetim paneline gir ve IMAP/SMTP alan adını tanımla.

# Web köküne aç ve izinleri ayarla
mkdir -p /var/www/webmail && cd /var/www/webmail
unzip snappymail-latest.zip
chown -R www-data:www-data /var/www/webmail
find /var/www/webmail -type d -exec chmod 755 {} \;
find /var/www/webmail -type f -exec chmod 644 {} \;

Yönetim paneline ilk girişte varsayılan kimlik bilgileri geçerlidir ve ilk iş bunu değiştirmektir. Ayrıca veri dizininin web üzerinden erişilebilir olmadığından emin ol; bu dizin ayarları ve kullanıcı verilerini tutar:

# Veri dizinine dışarıdan erişimi kapat
location ^~ /data {
    deny all;
    return 404;
}

Snappymail'in sınırı nettir: takvim ve kişi senkronizasyonu yoktur. Kullanıcıların telefonlarındaki takvimle entegrasyon beklentisi varsa bu seçenek baştan elenir. Buna karşılık yalnızca posta okunacaksa, aynı sunucuda çok daha az kaynakla çalışır.

Üçü İçin de Geçerli Güvenlik Ayarları#

Hangi webmail'i seçersen seç, aynı temel önlemler geçerlidir. Webmail, mail sunucunun internete açık tek web yüzeyidir; kaba kuvvet saldırılarının ilk hedefi olur.

1. Yalnızca HTTPS. Webmail üzerinden düz metin parola geçmesine izin verme; HTTP'yi kalıcı olarak HTTPS'e yönlendir ve HSTS başlığı ekle.
2. Kaba kuvvet koruması. Başarısız giriş denemelerini fail2ban ile izle ve IP'yi geçici olarak engelle.
3. Yönetim arayüzünü sınırla. Snappymail'in yönetim paneli ve Roundcube'un kurulum dizini gibi yolları IP kısıtıyla kapat ya da tamamen kaldır.
4. Yapılandırma dosyalarını kilitle. Veritabanı parolası içeren dosyaları 640 izinle ve doğru grup sahipliğiyle bırak.
5. Yükleme boyutunu sınırla. PHP'nin upload_max_filesize ve post_max_size değerlerini gerçekçi tut; sınırsız bırakmak disk doldurma saldırısına açık kapı bırakır.

# fail2ban filtresi için örnek log deseni (Roundcube)
# /var/log/roundcube/errors.log içinde:
# IMAP Error: Login failed for [email protected] from 198.51.100.20

Sertifika tarafını da unutma; webmail alan adı için geçerli bir sertifika şart. Kurulum ve yenileme konusunda SSL sertifikası sayfamızdaki seçenekler işini görür.

Sık Yapılan Hatalar ve Tuzaklar#

Kurulum sihirbazını açık bırakmak. Roundcube'un installer dizini, kurulumdan sonra silinmezse yapılandırma bilgilerini gösteren açık bir kapıdır. Bu, webmail kurulumlarında gördüğüm en yaygın ciddi hatadır.

Varsayılan yönetici parolasını değiştirmemek. Snappymail'in yönetim paneli varsayılan kimlikle gelir. İlk girişte değiştirilmezse, tüm mail sunucusunun ayarları kontrol dışına çıkar.

IMAP'a düz metin bağlanmak. Webmail ile IMAP sunucusu aynı makinede olsa bile, yapılandırmada ssl:// veya tls:// kullanmayı alışkanlık hâline getir; bugün aynı makinede olan servis yarın ayrılabilir.

Veritabanını yedekleme planına eklememek. Roundcube ve SOGo kullanıcı verilerinin bir kısmını veritabanında tutar. Yalnızca posta kutularını yedeklersen adres defterleri, kimlikler ve takvimler kurtarılamaz. Düzenli otomatik yedek için yedekleme hizmetimize göz atabilirsin.

SOGo'yu ters vekilsiz çalıştırmak. SOGo'nun kendi süreçleri doğrudan internete açılmak üzere tasarlanmamıştır; ters vekil olmadan hem güvenlik hem de arayüz bağlantıları açısından sorun çıkarır.

Kullanıcıya protokol farkını anlatmamak. Webmail her zaman IMAP mantığıyla çalışır; kullanıcı masaüstünde POP3 kullanıyorsa webmail'de gördüğü klasörler ile bilgisayarındakiler asla eşleşmez. Farkı IMAP ile POP3 arasındaki fark yazısıyla açıklamak destek trafiğini gözle görülür azaltır.

Sıkça Sorulan Sorular#

Hangi webmail en az kaynak tüketir#

Üçü arasında en hafifi Snappymail'dir; veritabanı gerektirmemesi ve sade bir PHP uygulaması olması sayesinde küçük sunucularda rahatlıkla çalışır. Roundcube orta seviyededir ve asıl yükü veritabanı tarafında oluşturur. SOGo ise kendi süreçleri, veritabanı ve memcached ile üçünün açık ara en ağırıdır; grup çalışması özelliklerine ihtiyacın yoksa bu maliyeti ödemene gerek yok.

Roundcube'a takvim ekleyebilir miyim#

Sınırlı biçimde evet. Roundcube için CalDAV tabanlı takvim eklentileri mevcuttur ve harici bir CalDAV sunucusuna bağlanarak çalışır. Ancak bu, SOGo'daki yerleşik takvim deneyiminin yerini tam olarak tutmaz; özellikle telefon senkronizasyonu ve davet yönetimi tarafında farkı hissedersin. Takvim gerçekten kritikse baştan SOGo'yu değerlendirmek daha az iş çıkarır.

Webmail kurmak zorunda mıyım#

Hayır. Kullanıcıların tamamı masaüstü ya da mobil istemci kullanıyorsa webmail kurmadan da eksiksiz bir mail sunucusu işletebilirsin. Yine de en az bir webmail bulundurmak pratikte işe yarar: istemci ayarı bozulan bir kullanıcının kutusuna erişebilmesi, sorun giderirken mesajın sunucuda gerçekten olup olmadığını görebilmen ve seyahatteki kullanıcıların yabancı bir bilgisayardan giriş yapabilmesi için.

Snappymail ile RainLoop aynı şey mi#

Snappymail, RainLoop projesinden türemiş bağımsız bir devam projesidir. Arayüz ve temel mimari benzerdir, ancak Snappymail aktif olarak geliştirilmeye devam eder ve güvenlik güncellemeleri alır. Yeni bir kurulum yapıyorsan Snappymail'i tercih etmen, güncellik açısından daha doğru bir tercih olur.

Webmail üzerinden gönderilen mailler neden spam'e düşüyor#

Webmail yalnızca bir arayüzdür; mesajı gönderen yine senin SMTP sunucundur. Dolayısıyla spam sorunu webmail'den değil, sunucunun kimlik doğrulama kayıtlarından ve itibarından kaynaklanır. SPF, DKIM ve DMARC kayıtlarının doğru olduğunu, rDNS kaydının tanımlı olduğunu ve IP'nin kara listede olmadığını kontrol et; webmail'i değiştirmek bu sorunu çözmez.

Birden fazla webmail'i aynı anda kurabilir miyim#

Evet, teknik olarak sorun yok; hepsi aynı IMAP sunucusuna bağlanır ve farklı alt alan adlarından yayınlanabilir. Örneğin webmail.firmaniz.com için Roundcube, posta.firmaniz.com için Snappymail çalıştırabilirsin. Pratikte ise bunu önermem: iki ayrı arayüz iki ayrı güncelleme ve güvenlik yüzeyi demektir, kullanıcılar da hangisini kullanacakları konusunda kararsız kalır.

Kapanış#

Webmail seçimi, aslında tek bir soruya iniyor: kullanıcıların takvim ve kişi senkronizasyonuna ihtiyacı var mı? Cevap evetse SOGo'nun getirdiği bakım yükünü kabul edersin; hayırsa Roundcube ile Snappymail arasında eklenti ihtiyacına göre karar verirsin. Aklında tutman gereken alışkanlıklar da net: kurulum sihirbazını ve varsayılan yönetici parolasını ilk gün kapat, veritabanını yedekleme planına dahil et, webmail'i yalnızca HTTPS üzerinden yayınla ve giriş denemelerini fail2ban ile izle.

Kendi webmail'ini kurup bakımını üstlenmek istemiyorsan, kurumsal e-posta çözümlerimizde hazır yapılandırılmış bir webmail arayüzü kutu yönetimiyle birlikte gelir. Kendi sunucunu işletmeyi tercih edersen SMTP sunucu paketlerimiz Postfix ve Dovecot kurulu teslim edilir; kurulum ve güncelleme bakımını devretmek istediğinde sunucu yönetimi hizmetimiz webmail katmanını da kapsar.