لماذا خادم بريد إلكتروني ذاتي الاستضافة على VPS في 2026
شددت كبرى منصات البريد — Gmail وOutlook في مقدمتها — قواعد المصادقة. فعّل Gmail الرفض الصارم للمرسلين غير المتوافقين في نوفمبر 2025؛ وتبعه Microsoft Outlook في مايو 2025 للأحجام التي تتجاوز 5000 رسالة يوميًا. البريد المُرسَل دون SPF وDKIM وDMARC المُهيَّأة بشكل صحيح يصل اليوم إلى البريد العشوائي أو يُرفض.
بالنسبة للوكالات والمطورين الذين يديرون نطاقات متعددة للعملاء، يُقدم خادم البريد الإلكتروني ذاتي الاستضافة على VPS ميزة ملموسة: بنية تحتية مركزية، وسمعة IP خاضعة للتحكم، وسيطرة كاملة على سجلات DNS للمصادقة. يُبرر تكلفة سمعة IP المتدهورة — أسابيع من الإحماء، أو حتى القائمة السوداء — الاستثمار في إعداد دقيق منذ الإرسال الأول.
ما يقدمه Stalwart مقارنةً بالبنية الكلاسيكية
- ملف تنفيذي واحد: SMTP وIMAP4 وPOP3 وJMAP وManageSieve وWebAdmin في عملية واحدة — دون Docker Compose متعدد الحاويات.
- مكتوب بلغة Rust: أمان الذاكرة بالتصميم، استهلاك منخفض للذاكرة، إقلاع سريع.
- SPF وDKIM وDMARC مدمجة: التحقق الوارد والتوقيع الصادر قابلان للتهيئة من واجهة WebAdmin دون إضافات خارجية.
- JMAP: بروتوكول حديث يُقلل زمن الاستجابة مقارنةً بـ IMAP وحده — مدعوم بشكل مدمج في Stalwart.
- AGPL-3.0: كود قابل للمراجعة، دون اعتماد على خدمة سحابية مملوكة.
- WebAdmin مدمجة: إدارة النطاقات والحسابات وقواعد التصفية وتقارير DMARC من المتصفح.
المتطلبات الأساسية قبل البدء
يعمل Stalwart على أي خادم VPS يعمل بنظام Linux 64 بت. للاستخدام الإنتاجي المستقر، خطط لـ 2 vCPU على الأقل و2 جيجابايت من الذاكرة — الملف التنفيذي نفسه خفيف الوزن، لكن إدارة قوائم انتظار SMTP وفهرسة IMAP تستهلك الذاكرة تحت الحمل.
نقطتان حاسمتان للتحقق منهما قبل التثبيت:
يجب أن يكون المنفذ 25 مفتوحًا للخارج. يحجب كثير من مزودي الاستضافة هذا المنفذ في باقات VPS الأساسية للحد من البريد العشوائي. تحقق من مزودك أن المنفذ 25 الصادر غير محجوب — بدونه يمكن لـ Stalwart استقبال البريد لكن لا يمكنه الإرسال إلى خوادم أخرى.
يجب أن يكون لعنوان IP للخادم سجل PTR (DNS العكسي) صحيح. يُعد غياب PTR أو تناقضه من أبرز أسباب الرفض من قِبل كبرى منصات البريد. معظم مزودي VPS يتيحون تعيين هذا السجل من لوحة التحكم.
قائمة المتطلبات
- VPS يعمل بنظام Linux 64 بت (يُوصى بـ Debian 12 أو Ubuntu 22.04)، الحد الأدنى 2 vCPU / 2 جيجابايت ذاكرة.
- عنوان IP مخصص — لا تستخدم IP مشتركًا لخادم بريد إنتاجي.
- PTR DNS مُهيَّأ على عنوان IP للخادم: يجب أن يتطابق مع اسم مضيف خادم البريد.
- المنفذ 25 الصادر غير محجوب من قِبل مزود الاستضافة (تحقق قبل الطلب).
- المنافذ 465 (SMTPS) و587 (submission) و993 (IMAPS) و143 (IMAP) مفتوحة في جدار الحماية.
- نطاق بصلاحيات إدارة سجلات DNS (إضافة سجلات TXT لـ SPF وDKIM وDMARC).
- شهادة TLS صالحة — Let's Encrypt عبر ACME مدعوم بشكل مدمج في Stalwart.
تثبيت Stalwart على VPS
يوفر Stalwart سكريبت تثبيت رسمي يُنزّل الملف التنفيذي المُترجم مسبقًا، ويُنشئ مستخدم نظام مخصصًا، ويُثبّت خدمة systemd، ويُرشد إلى التهيئة الأولية في وضع تفاعلي.
النشر خطوة بخطوة
تنزيل سكريبت التثبيت وتشغيله
الاتصال بالخادم كـ root أو باستخدام sudo، ثم تشغيل السكريبت الرسمي:
curl -fsSL https://get.stalw.art/install.sh | sudo bashيكتشف السكريبت البنية، ويُنزّل الملف التنفيذي للإصدار المستقر الأخير (v0.16.19 وقت كتابة هذا المقال)، ويُنشئ المستخدم stalwart-mail، ويُثبّت الملف التنفيذي في /usr/local/bin/stalwart-mail ويُولّد التهيئة الأولية في /etc/stalwart/.
تهيئة النطاق وإعدادات SMTP
يُطلق السكريبت مساعدًا تفاعليًا. أدخل اسم النطاق الرئيسي (mail.yourdomain.com)، ونطاق الإرسال، ومسار تخزين صناديق البريد. تُكتب التهيئة بصيغة TOML في /etc/stalwart/config.toml.
لتفعيل Let's Encrypt، تأكد من أن المنفذ 443 متاح وأن سجل DNS لـ mail.yourdomain.com يُشير إلى عنوان IP للخادم قبل تشغيل السكريبت.
تشغيل الخدمة والتحقق من السجلات
sudo systemctl enable --now stalwart-mail
sudo systemctl status stalwart-mail
journalctl -u stalwart-mail -fتستمع الخدمة على المنافذ المُهيَّأة. تُشير السجلات إلى ما إذا تم الحصول على شهادة TLS وما إذا كانت مقابس SMTP وIMAP نشطة.
تهيئة SPF وDKIM وDMARC في DNS
سجّل الدخول إلى WebAdmin (المنفذ 8080 افتراضيًا، يجب حمايته خلف وكيل عكسي أو قائمة IP مسموح بها) وانتقل إلى الإدارة ← النطاقات.
يُولّد Stalwart مفتاح DKIM ويعرض سجلات DNS المطلوب إضافتها. انشرها في مدير DNS:
# SPF — تصريح للخادم بالإرسال نيابةً عن النطاق
yourdomain.com. TXT "v=spf1 mx a:mail.yourdomain.com ~all"
# DKIM — المفتاح العام المُولَّد بواسطة Stalwart (القيمة معروضة في WebAdmin)
default._domainkey.yourdomain.com. TXT "v=DKIM1; k=rsa; p=<المفتاح العام>"
# DMARC — سياسة الرفض مع عنوان التقرير
_dmarc.yourdomain.com. TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"ابدأ بـ p=none (وضع المراقبة) لمدة 48 إلى 72 ساعة، وحلّل التقارير المجمّعة، ثم انتقل إلى p=quarantine ثم p=reject.
إنشاء الحسابات الأولى واختبار الإرسال
في WebAdmin، أنشئ نطاقًا وحسابات المستخدمين المرتبطة به. اختبر الإرسال باستخدام swaks من الخادم:
swaks --to [email protected] --from [email protected] \
--server mail.yourdomain.com --port 587 \
--auth LOGIN --auth-user [email protected]تحقق من الرسالة المستلمة وترويسة Authentication-Results — يجب أن تُظهر spf=pass وdkim=pass وdmarc=pass.
حماية WebAdmin وتقوية جدار الحماية
يجب ألا تكون WebAdmin مكشوفة للعموم. خياران: تقييدها بعنوان IP للإدارة في إعدادات Stalwart، أو وضعها خلف وكيل عكسي nginx مع مصادقة أساسية.
على صعيد جدار الحماية، اسمح فقط بالمنافذ الضرورية:
# مثال مع ufw
ufw allow 25/tcp # SMTP الوارد
ufw allow 465/tcp # SMTPS
ufw allow 587/tcp # Submission
ufw allow 993/tcp # IMAPS
ufw allow 143/tcp # IMAP (إن لزم)
ufw deny 8080/tcp # WebAdmin — وصول مقيد، غير عامارجع إلى مقال تقوية VPS Linux للحصول على التهيئة الكاملة لجدار الحماية وإدارة مفاتيح SSH.
سمعة IP: العامل الأكثر إغفالاً
التثبيت التقني المثالي لا يكفي إذا كان عنوان IP للخادم مدرجًا في قاعدة بيانات سمعة سلبية (Spamhaus وBarracuda وSORBS). قبل الانطلاق في الإنتاج، تحقق من عنوان IP على MXToolbox Blacklists وSpamhaus Checker. إذا كان IP مدرجًا، افتح طلب إزالة لدى كل قاعدة بيانات — قد تستغرق العملية من 24 ساعة إلى أسبوعين. طلب IP جديد من مزود الاستضافة أحيانًا أسرع.
Stalwart مقابل Mailcow: مقاربتان لخادم البريد ذاتي الاستضافة
| المعيار | Stalwart Mail Server | Mailcow |
|---|---|---|
| البنية | ملف تنفيذي واحد بـ Rust (عملية واحدة) | stack Docker متعددة الحاويات (Postfix وDovecot وRspamd وSOGo...) |
| البروتوكولات | SMTP وIMAP4 وPOP3 وJMAP وManageSieve وCalDAV وCardDAV | SMTP وIMAP4 وPOP3 وManageSieve وCalDAV وCardDAV |
| الحد الأدنى الموصى به من الذاكرة | 2 جيجابايت في الإنتاج | 4 إلى 6 جيجابايت (حاويات متعددة) |
| SPF/DKIM/DMARC | مدمجة بشكل مدمج في الملف التنفيذي | عبر Rspamd وOpenDKIM (تهيئة منفصلة) |
| واجهة الإدارة | WebAdmin مدمجة (HTTP وREST API) | SOGo + واجهة Mailcow مخصصة |
| الترخيص | AGPL-3.0 | MIT (لكن التبعيات بتراخيص متنوعة) |
| النضج | مستقر، v0.16.x، ما قبل 1.0 | ناضج، مُنشر في الإنتاج منذ 2016 |
الأخطاء الشائعة التي يجب تجنبها
غياب PTR أو تناقضه. هذا هو السبب الأكثر شيوعًا للرفض الصامت من Gmail وOutlook. يجب أن يتحل PTR إلى اسم المضيف المستخدم في SMTP EHLO، الذي يجب بدوره أن يتطابق مع نطاق الإرسال. تحقق بـ dig -x <IP-الخادم>.
المنفذ 25 محجوب من قِبل مزود الاستضافة. بعض مزودي VPS يحجبون المنفذ 25 الصادر افتراضيًا للحد من البريد العشوائي. يمكن لـ Stalwart استقبال البريد، لكن الإرسال إلى خوادم خارجية يفشل. الفحص المسبق يُجنّب اكتشاف هذا الحجب بعد التثبيت.
الانتقال السريع إلى p=reject في DMARC. سياسة DMARC صارمة مُطبَّقة دون فترة مراقبة مسبقة قد تحجب مسارات إرسال شرعية (رسائل إخبارية، نماذج تواصل) إذا لم تغطِ SPF أو DKIM جميع مسارات الإرسال. الـ 48 إلى 72 ساعة الأولى في p=none مع تقارير مجمّعة ضرورية.
إهمال الإحماء التدريجي لـ IP. عنوان IP جديد يُرسل فجأة مئات الرسائل يوميًا يُعلَّم كمشبوه من قِبل مرشحات البريد العشوائي. ارفع الحجم تدريجيًا على مدى أسبوع إلى أسبوعين، بدءًا بالمستلمين الأكثر تفاعلاً.
التحديثات والصيانة
ينشر Stalwart تحديثات منتظمة على مستودعه في GitHub. v0.16.19 (أغسطس 2026) هي النسخة المستقرة الحالية — يستهدف المشروع الإصدار v1.0 بعد استكمال مخطط قاعدة البيانات وتحسينات الأداء.
لتحديث الملف التنفيذي:
sudo systemctl stop stalwart-mail
sudo curl -fsSL https://get.stalw.art/install.sh | sudo bash
sudo systemctl start stalwart-mailلا يُعيد سكريبت التحديث كتابة ملفات التهيئة في /etc/stalwart/ ولا البيانات في دليل التخزين. احتفظ بنسخة احتياطية من مفاتيح DKIM قبل أي عملية — فقدان المفتاح الخاص يُجبر على تدوير سجل DNS وفترة انتشار.
تابع الإصدارات على github.com/stalwartlabs/stalwart/releases للتنبه بتصحيحات الأمان.
