Roundcube

Roundcube - браузерный IMAP-клиент на PHP. Первый стабильный выпуск вышел в марте 2008 года, продукту восемнадцать лет.

Начать надо с того, чего в нем нет. Почтового сервера внутри нет. Roundcube читает чужой IMAP и отправляет через чужой SMTP, а сам не принимает и не доставляет ни одного письма.

Из этого следует все остальное. Поставить один Roundcube и получить работающую почту нельзя: будет форма входа, которой некуда стучаться.

Скорее всего вы его уже видели. cPanel в свое время сделал Roundcube штатным вебмейлом вместо SquirrelMail, и веб-почта у массовых хостеров - это он, перекрашенный и без упоминания имени.

Лицензия GPL-3.0 с явным исключением для скинов и плагинов: расширение, которое только вызывает функции Roundcube, модификацией продукта не считается. Свой скин под корпоративный бренд можно не открывать.

Первый: веб-интерфейс к чужому ящику. Почта остается там, где была - у хостера, в Яндекс 360, на корпоративном сервере. Roundcube просто дает свое окно к ней.

Тут он ничего не экономит. Покупается свой домен в адресной строке, свой вид, свои плагины и отсутствие чужой рекламы. Никаких DNS-записей, никакого 25-го порта, установка занимает минуты.

Второй: своя почта целиком. Рядом встает почтовый сервер, и Roundcube становится его лицом. Вот здесь считаются деньги, и здесь же начинается работа с DNS.

Мы собрали именно вторую связку: Roundcube 1.7.4 плюс docker-mailserver 16.0.1 на одной машине. Цифры ниже сняты с нее.

Цены с сайтов вендоров на 28 сентября 2026. Разрыв растет линейно: на пятидесяти сотрудниках подписка идет к четырнадцати тысячам в месяц, а машина стоит те же 500 рублей.

Только счет неполный. В подписку входят доставляемость, антиспам, поддержка и мобильные приложения, а своя машина требует MX, SPF, DKIM, DMARC и записи PTR от провайдера.

Экономия настоящая, но покупается работой администратора. Если такого человека в компании нет, разговор можно не начинать.

Ниша отдельно стоящих вебмейлов за несколько лет почти обезлюдела. Метрики сняты через API GitHub 28 сентября 2026.

Выбор на практике сузился до двух: Roundcube и SOGo. Они про разное - первый почтовый клиент, второй групвер с календарем и синхронизацией, заметно тяжелее.

Отдельный сюжет - сам Roundcube чуть не выпал из этого списка. Между версиями 1.6.0 (июль 2022) и 1.7.0 (май 2026) прошло три года и девять месяцев без функциональных релизов.

В ноябре 2023 проект вошел в Nextcloud, тот содержит команду и продает подписку с поддержкой. Выпуск 1.7.0 - первый результат этих денег, и релиз-ноуты начинаются словами «после почти четырех лет разработки».

1. Поставить Docker

   Образ Ubuntu 24.04 приходит без Docker, ставим из официального репозитория docker.com.

2. Описать оба сервиса

   services:
     mailserver:
       image: ghcr.io/docker-mailserver/docker-mailserver:16.0.1
       hostname: mail.example.com
       env_file: mailserver.env
       volumes:
         - ./docker-data/dms/mail-data/:/var/mail/
         - ./docker-data/dms/mail-state/:/var/mail-state/
         - ./docker-data/dms/config/:/tmp/docker-mailserver/
     roundcube:
       image: roundcube/roundcubemail:1.7.4-apache
       depends_on: [mailserver]
       environment:
         ROUNDCUBEMAIL_DEFAULT_HOST: mailserver
         ROUNDCUBEMAIL_DEFAULT_PORT: 143
         ROUNDCUBEMAIL_SMTP_SERVER: mailserver
         ROUNDCUBEMAIL_SMTP_PORT: 587
         ROUNDCUBEMAIL_DB_TYPE: sqlite
         ROUNDCUBEMAIL_DES_KEY: "ваш_постоянный_ключ_24_символа"
       ports:
         - "127.0.0.1:8080:80"
       volumes:
         - ./docker-data/roundcube/db/:/var/roundcube/db/

   Roundcube обращается к почтовому серверу по имени сервиса внутри сети compose, наружу почтовые порты не выставлены вовсе.

3. Поправить два значения в mailserver.env

   Вместо PERMIT_DOCKER=none поставить connected-networks, иначе почтовый сервер не примет отправку из соседнего контейнера. И заполнить POSTMASTER_ADDRESS.

4. Запустить и сразу завести ящик

   docker compose up -d
   docker exec mailserver setup email add anna@example.com 'пароль'

   Именно сразу: у вас есть 120 секунд, дальше почтовый сервер выключится. Подробности ниже, в подводных камнях.

5. Выставить наружу обратным прокси

   Сертификатов Roundcube не выпускает. В примере веб слушает только localhost, TLS терминирует прокси перед ним.

Roundcube оказался легче, чем весит его собственный образ: гигабайт на диске и сорок мегабайт в памяти. Тяжелая часть пары - почтовый сервер, и то 88 МиБ.

Тестировали версию 1.7.4, сентябрь 2026. На новых версиях результаты могут отличаться.

Про Roundcube в рунете последние три года пишут почти только одно - про его уязвимости. Это не случайность и не повод от него отказываться, но знать стоит заранее.

Выпуск 1.7.4 от 6 сентября 2026 закрыл больше десятка проблем за раз. Среди них stored XSS через инъекцию TNEF-тега, срабатывающий без единого клика, несколько инъекций почтовых заголовков и обход SSRF-защиты в CSS-прокси.

Так идет каждый месяц: 1.7.1 в мае, 1.7.2 в июле, 1.7.3 в августе, 1.7.4 в сентябре, и все помечены как выпуски безопасности. Находки приходят от именованных исследователей, то есть продукт под постоянным вниманием.

Читать это надо не как «дырявый», а как эксплуатационное требование: вебмейл смотрит в интернет и разбирает чужой HTML, поэтому обновление раз в месяц - часть стоимости, а не опция.

• Ветки - полностью поддерживается только 1.7.x. Ветка 1.6.x получает лишь важные обновления безопасности, 1.5.x снята с поддержки.
• Ключ сессий - задайте ROUNDCUBEMAIL_DES_KEY заранее, иначе каждое обновление разлогинит всех.
• TLS - обратный прокси с сертификатом, порты приложения только на localhost.
• Бэкап - том с базой Roundcube плюс данные почтового сервера. Письма лежат у второго, не у первого.