Документация платформы MGate
Полное практическое руководство по управлению корпоративной почтой: настройка доменов и DNS, работа с ящиками, безопасность, подключение почтовых программ, веб-интерфейс, перенос почты и мониторинг (двухфакторная защита — в разработке).
1. Быстрый старт и вход в систему
MGate предоставляет клиентам два удобных веб-интерфейса в едином пространстве: Панель администратора (/admin) для настройки доменов, ящиков и мониторинга, а также быстрый современный клиент Веб-почты (/mail) для повседневной работы сотрудников.
Панель управления (Admin)
Доступна по адресу https://mail.company.ru/admin. Предназначена для ИТ-специалистов и администраторов доменов. Позволяет добавлять домены, настраивать DNS, заводить сотрудников, управлять квотами и очередями.
Веб-почта сотрудников (Webmail)
Доступна по адресу https://mail.company.ru/mail или https://mail.company.ru/. Полнофункциональный почтовый клиент в браузере: чтение, отправка, вложения, папки, адресная книга, автоответчик и пароли приложений.
Панель управления Система в норме
Мониторинг инфраструктуры, метрики производительности и управление почтовым кластером
2. Схема работы почты: сквозной путь письма
Почтовый шлюз MGate обеспечивает полную многоуровневую обработку каждого сообщения. Письма проходят строгий входной контроль подлинности, спам-скоринг и антивирусное сканирование перед доставкой в персональный ящик пользователя.
Ключевые этапы обработки сообщения
- Соединение и проверка репутации: Postscreen анализирует IP-адрес отправителя по спискам DNSBL (Spamhaus, Barracuda) и отсекает зомби-сети до начала передачи данных.
- Проверка подлинности (SPF/DKIM/DMARC): Сервер удостоверяется, что письмо действительно отправлено уполномоченным сервером домена-отправителя и не было модифицировано при передаче.
- Антивирусный и антиспам анализ: Вложения в форматах ZIP, RAR, PDF, EXE сканируются движком ClamAV в изолированной памяти. Текст письма оценивается нейросетевым байесовским фильтром Rspamd.
- Применение серверных правил пользователя (Sieve): Если у сотрудника настроены фильтры сортировки (например, «письма от бухгалтерии перемещать в папку Счета»), правила отрабатывают мгновенно на сервере.
- Доставка в почтовый ящик: Сообщение записывается в хранилище Dovecot и становится доступно на всех устройствах сотрудника через IMAP IDLE (Push-уведомления) и веб-интерфейс.
3. Роли и уровни доступа (RBAC)
В системе реализовано строгое разделение полномочий для защиты конфиденциальности корпоративной переписки:
| Роль | Где авторизуется | Доступные действия | Ограничения |
|---|---|---|---|
| Суперадминистратор (SuperAdmin) | Панель /admin |
Полный контроль: создание доменов, управление очередями писем (Hold/Flush), выпуск SSL-сертификатов, управление администраторами, доступ к live-логам и бэкапам. | Не имеет прямого доступа к чтению личной переписки сотрудников. |
| Администратор домена (DomainAdmin) | Панель /admin |
Управление только назначенным доменом (например, @subsidiary.ru): создание ящиков сотрудников, изменение квот, управление списками рассылки, алиасами. |
Не видит чужие домены, системные сертификаты и глобальную очередь Postfix. |
| Пользователь ящика (User) | Веб-почта /mail и настройки /account |
Чтение и отправка почты, создание папок, автоответчик в отпуске, создание фильтров писем, генерация паролей приложений (App Passwords) для телефона. | Нет доступа в панель управления сервером. |
4. Подключение и подтверждение домена
Подключение корпоративного домена происходит в 3 простых шага через панель администратора:
Создание домена в панели
В разделе «Домены» нажмите «+ Добавить домен». Укажите имя (например, company.ru), лимит почтовых ящиков и квоту по умолчанию.
Автогенерация DKIM ключа
Платформа автоматически сгенерирует криптографический ключ RSA-2048 и сформирует готовые записи для вашего DNS-хостинга.
Проверка статуса DNS
Кнопка «Проверить записи» запускает встроенный резолвер и отмечает зелеными индикаторами корректно настроенные записи MX, SPF, DKIM и DMARC.
company.ru
Основной activemgate.| Тип | Имя поддомена | Текущее значение на сервере DNS | Статус проверки |
|---|---|---|---|
| MX | @ |
10 mail.company.ru. |
✓ Подтверждено |
| SPF | @ |
v=spf1 mx a:mail.company.ru ~all |
✓ Подтверждено |
| DKIM | mgate._domainkey |
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... |
✓ Подтверждено |
| DMARC | _dmarc |
v=DMARC1; p=quarantine; rua=mailto:[email protected] |
✓ Подтверждено |
5. Настройка DNS-записей домена
Чтобы почта надежно доставлялась партнерам и не попадала в спам у крупных провайдеров (Яндекс, Gmail, Mail.ru), добавьте следующие записи в панели управления вашим доменом:
1. Запись MX (Прием входящих писем)
Обязательная
Указывает внешним серверам, куда отправлять почту для ваших сотрудников. Имя: @ (корень домена), приоритет: 10.
2. Запись SPF (Авторизация серверов отправителя)
Критично для доставляемости
TXT-запись в корне домена, защищающая от отправки спама злоумышленниками от вашего имени. Механизм mx разрешает отправку с адреса вашего почтового сервера.
3. Запись DKIM (Цифровая подпись писем)
Критично для доставляемостиПубличный криптографический ключ подписи. Сервер получателя сравнивает подпись в заголовке письма с открытым ключом в DNS, подтверждая подлинность автора.
4. Запись DMARC (Политика защиты от подделки)
Стандарт RFC 7489
Инструктирует почтовые системы получателей, как поступать с письмами при сбое SPF или DKIM. Рекомендуемый режим для старта — p=quarantine (отправлять подозрительные письма в спам) с отправкой отчетов администратору.
6. Интерактивный генератор записей для вашего домена
Введите имя вашего домена и параметры сервера, чтобы мгновенно скопировать готовые записи для добавления у вашего регистратора:
| Тип | Имя поддомена | Значение для вставки | Действие |
|---|---|---|---|
| MX | @ |
10 mail.company.ru. |
|
| A | mail |
198.51.100.25 |
|
| TXT (SPF) | @ |
"v=spf1 mx a:mail.company.ru ~all" |
|
| TXT (DKIM) | mgate._domainkey |
"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..." |
|
| TXT (DMARC) | _dmarc |
"v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:[email protected]; pct=100" |
|
| CNAME | autoconfig |
mail.company.ru. |
7. Ротация ключей DKIM
Для соответствия корпоративным стандартам безопасности (ИБ) криптографические ключи рекомендуется обновлять раз в 6–12 месяцев. В MGate ротация выполняется вручную кнопкой «Ротировать DKIM» на вкладке DNS домена: ключ всегда RSA-2048, новый селектор не затирает старый. Новый ключ становится активным сразу, поэтому опубликуйте его TXT-запись в DNS сразу после ротации:
8. Управление почтовыми ящиками сотрудников
Создание ящиков происходит мгновенно без перезагрузки почтовых демонов. Администратор может индивидуально настраивать квоту, статус активности и права учетной записи.
Почтовые ящики
Управление учетными записями пользователей, квотами и безопасностью
9. Алиасы (псевдонимы) и права отправки «Send-As»
Алиасы позволяют сотруднику получать почту на несколько адресов в один ящик без оплаты дополнительных лицензий и без дублирования хранилища.
Входящие псевдонимы (Aliases)
Например, письмо на [email protected] или [email protected] доставляется в основной ящик [email protected]. Количество алиасов на один ящик не ограничено.
Право отправки от имени (Send-As)
Позволяет сотруднику выбирать в выпадающем списке поля «От кого» корпоративный псевдоним (например, [email protected] или [email protected]). Почтовый сервер автоматически подпишет письмо корректным DKIM.
10. Списки и группы рассылки (Distribution Lists)
Списки рассылки объединяют несколько сотрудников под единым публичным адресом (например, [email protected], [email protected], [email protected]). При поступлении письма система мгновенно и атомарно дублирует его всем участникам группы.
Политики доступа к спискам рассылки:
- Общедоступный список: Любой внешний или внутренний отправитель может прислать письмо на адрес (идеально для
[email protected]). - Только внутренний (Internal Only): Письма принимаются строго от сотрудников компании. Письма от внешних спам-ботов отклоняются с кодом 550.
- Модерируемый список: Сообщения отправляются только назначенным администраторам списка.
11. Пересылка писем и автоответчик в отпуске
Автоматическая пересылка (Forwarding)
Настраивается как администратором, так и самим пользователем в личном кабинете /account.
- Опция «Сохранять копию на сервере» (защита от потери переписки).
- Пересылка на внутренние или внешние корпоративные адреса.
Автоответчик «В отпуске» (Vacation)
Серверный автоответчик с гарантией защиты от бесконечных циклов зацикливания:
- Точный выбор дат начала и окончания отпуска.
- Отправка ответа одному отправителю не чаще одного раза в 24 часа.
- Игнорирование рассылок, спама и автоматических систем уведомлений (Precedence: bulk).
12. Адрес-ловушка (Catch-All)
Функция Catch-All перехватывает сообщения, отправленные на опечатанные или несуществующие адреса домена (например, если клиент опечатался и написал на [email protected] вместо [email protected]). Письмо не теряется, а перенаправляется на ящик дежурного оператора.
13. Двухфакторная аутентификация (2FA / TOTP) — в разработке
Статус: в разработке
В текущей версии вход в веб-интерфейс выполняется только по паролю: одноразовый код TOTP при входе не запрашивается и не проверяется, поэтому подключение 2FA в личном кабинете и принудительное включение 2FA для ящиков отключены, чтобы не создавать ложное чувство защищённости. Пока используйте длинные уникальные пароли, отдельные пароли приложений для почтовых программ (см. следующий раздел) и защиту от перебора паролей.
14. Пароли приложений (App Passwords)
Почтовые программы (Outlook, Apple Mail, Thunderbird) подключаются по IMAP/SMTP и не могут запросить одноразовый код, поэтому для них используются отдельные Пароли приложений:
| Преимущество | Как это работает на платформе MGate |
|---|---|
| Изоляция паролей | Основной пароль сотрудника от веб-кабинета никогда не сохраняется в сторонних устройствах. |
| Мгновенный отзыв в один клик | При утере смартфона или ноутбука сотрудник или администратор отзывает пароль приложения «iPhone Mail» без смены пароля на остальных устройствах. |
| Индивидуальный аудит | В журнале входов видно, какое именно приложение и с какого IP подключалось по IMAP. |
15. Защита от спама, фишинга и вредоносных программ
Встроенный комплекс безопасности фильтрует нежелательную корреспонденцию в режиме реального времени:
Байесовское самообучение
Когда сотрудники нажимают «Это спам» в веб-интерфейсе, фильтр автоматически дообучается на локальной специфике вашей компании.
Антифишинг и DMARC
Проверка несоответствия видимого имени отправителя реальному техническому адресу и валидация подписи DKIM.
Антивирусный карантин
Блокировка опасных вложений (двойные расширения, эксплойты в макросах, зашифрованные архивы с вредоносным кодом).
16. Управление сессиями и аудит входов
В разделе «Безопасность → Активные сессии» пользователь видит список всех подключенных браузеров и устройств с указанием браузера, операционной системы, IP-адреса и времени последнего действия:
Алексей Смирнов
User17. Параметры подключения почтовых программ (IMAP / SMTP)
Для подключения любых почтовых клиентов (Outlook, Thunderbird, Apple Mail, The Bat!, мобильных приложений) используйте единые параметры с обязательным шифрованием TLS:
| Протокол | Имя сервера | Порт | Тип шифрования | Аутентификация |
|---|---|---|---|---|
| Входящая почта (IMAP) — рекомендуется | mail.company.ru |
993 |
SSL / TLS (Implicit) | Обычный пароль или Пароль приложения |
| Входящая почта (POP3) | mail.company.ru |
995 |
SSL / TLS (Implicit) | Обычный пароль или Пароль приложения |
| Исходящая почта (SMTP Submission) | mail.company.ru |
465 |
SSL / TLS (Implicit) | Требуется авторизация (совпадает с IMAP) |
| Исходящая почта (SMTP STARTTLS) | mail.company.ru |
587 |
STARTTLS | Требуется авторизация (совпадает с IMAP) |
18. Пошаговые инструкции для почтовых клиентов
Microsoft Outlook
- Откройте Файл → Добавить учетную запись.
- Введите ваш полный адрес:
[email protected]. - Выберите «Настроить вручную» → IMAP.
- Сервер входящей почты:
mail.company.ru, порт 993, шифрование: SSL/TLS. - Сервер исходящей почты:
mail.company.ru, порт 465, шифрование: SSL/TLS. - В поле пароля введите ваш Пароль приложения.
Apple Mail (iPhone / iPad / Mac)
- Откройте Настройки → Почта → Учетные записи → Добавить учетную запись.
- Выберите «Другое» → Добавить учетную запись почты.
- Укажите имя, ваш email и пароль приложения.
- Сервер входящей и исходящей почты:
mail.company.ru. - iOS автоматически подключится по защищенным портам 993 и 465.
19. Интерфейс Веб-почты (Webmail)
Веб-клиент MGate оптимизирован для максимальной скорости работы. Он не требует установки стороннего ПО и работает в любых современных браузерах на компьютерах, планшетах и смартфонах.
Отчет по плановому переходу на корпоративный почтовый сервер MGate
Коллеги, добрый день! Миграция 480 почтовых ящиков успешно завершена. Все исторические письма, папки и цепочки сообщений перенесены в полном объеме. Вы можете работать в веб-интерфейсе или подключить телефон по инструкции из раздела помощи.
20. Возможности веб-почты: папки, поиск и фильтрация
Мгновенный поиск
Полнотекстовый поиск по теме, телу сообщения, вложениям и адресам даже в почтовых базах размером более 50 GB.
Rich-Text редактор
Удобное форматирование текста, вставка таблиц, списков, изображений drag-and-drop и автосохранение черновиков.
Адресная книга
Автодополнение адресов коллег из глобальной корпоративной адресной книги компании (Global Address List).
21. Схема бесшовной миграции почты
Статус: работает. Встроенная миграция по IMAP входит в текущую версию (раздел «Импорт и миграция» панели администратора и страница миграции в личном кабинете). Перенос выполняется в фоне средствами Dovecot; схема ниже — общий порядок действий при переходе на новый сервер.
Переход с внешних провайдеров (Яндекс 360, Google Workspace, Mail.ru для бизнеса и любых серверов с включённым IMAP) на платформу MGate проходит без остановки рабочего дня сотрудников: пока идёт перенос, почта продолжает работать на старом сервере, а перед переключением MX синхронизацию можно повторить.
22. Мастер переноса почты в веб-интерфейсе
Статус: работает. Мастер входит в текущую версию. Ниже — иллюстрация интерфейса с демонстрационными данными (названия ящиков, числа и скорость вымышленные).
В разделе «Импорт и миграция» администратору доступен пошаговый мастер переноса с предустановленными профилями популярных провайдеров:
Импорт и миграция
Бесшовный перенос ящиков, писем и структуры папок с Яндекс 360, Mail.ru, Google Workspace и IMAP-серверов.
23. Управление очередями писем (Queue Operations)
Если внешний сервер получателя временно недоступен или отклоняет соединения, письма помещаются в очередь отложенной отправки (Deferred Queue). Администратор может визуально управлять очередью:
Очередь сообщений Postfix
Мониторинг очередей spool (active, deferred, hold) и управление повторной отправкой.
| Queue ID | Статус / Причина задержки | Отправитель | Получатель | Размер | В очереди | Действия |
|---|---|---|---|---|---|---|
4W8zN10b2zZ1
📋
|
⏳ Отложено
⚠ Connection timed out (port 25)
|
[email protected] | [email protected] | 840 KB | 18 мин назад | |
4W8zL94c1xZ9
📋
|
⏳ Отложено
451 4.7.1 Greylisted, try again later
|
[email protected] | [email protected] | 124 KB | 34 мин назад | |
4W8xK21a9pP4
📋
|
⏸ Заморожено
Остановлено администратором
|
[email protected] | [email protected] | 450 KB | 42 мин назад |
24. Живой журнал событий (Live Logs) и диагностика доставки
В разделе «Журнал событий» (доступен в веб-панели по адресу /admin/logs) администратор видит непрерывный поток прохождения писем в режиме реального времени (Server-Sent Events). Вы можете мгновенно отфильтровать события по адресу сотрудника, внешнего получателя, IP-адресу или коду ответа SMTP, чтобы за секунды ответить на вопрос пользователя «почему не пришло письмо?».
Системные логи
Непрерывный поток событий почтовых сервисов (Postfix, Dovecot, Rspamd, Auth) в реальном времени через SSE.
Пошаговая диагностика недоставки письма
- Шаг 1: Введите email отправителя или получателя в поле фильтра раздела «Журнал событий».
- Шаг 2: Если статус
250 2.0.0 OK— письмо гарантированно принято почтовым сервером адресата. Проблема на стороне клиента (пользователю следует проверить папку Спам в своем клиенте). - Шаг 3: Если статус
450 / 451 Deferred— целевой сервер временно занят или включил Greylisting. Письмо находится в очереди и будет автоматически доставлено в следующую попытку. - Шаг 4: Если статус
550 / 554 Reject— адрес получателя не существует либо сервер получателя отклонил сообщение по DMARC/RBL.
Расшифровка кодов ответов SMTP
- • 250 OK: Успешная доставка. Письмо передано MDA или внешнему серверу.
- • 451 Greylisted: Задержка серой фильтрации. Повторная отправка произойдет через 5 минут.
- • 452 Insufficient storage: Переполнен почтовый ящик адресата на удаленном сервере.
- • 550 User unknown: Опечатка в адресе получателя — ящик не существует на целевом сервере.
- • 554 Relay access denied: Ошибка авторизации исходящего клиента.
25. Статистика и аналитика отчетов DMARC
Агрегированные XML-отчеты DMARC (RUA), которые присылают крупные почтовые системы (Google, Яндекс, Mail.ru, Microsoft), загружаются в панель вручную на вкладке DMARC домена. По загруженным отчётам вы видите сводку за 7 дней; в редакции Pro — полные IP-адреса источников, историю до 90 дней и исходные XML:
Легитимные рассылки
Объем писем, успешно прошедших проверку SPF и DKIM (100% валидность).
Попытки подделки
Список IP-адресов-источников, с которых отправлялись письма от имени вашего домена, и результат проверки SPF/DKIM для каждого.
Сервисы компании
Легитимные системы (CRM, 1C, биллинг), которые отправляют почту от имени домена, видны среди источников — для них требуется дописать IP в SPF-запись.
26. SSL/TLS сертификаты и резервное копирование
SSL/TLS-сертификаты
По умолчанию сервер отдаёт самоподписанный сертификат: браузеры и почтовые клиенты предупреждают о недоверенном сертификате. Для рабочей эксплуатации загрузите собственный сертификат (цепочка и закрытый ключ в формате PEM) в разделе «Сертификаты» админки; замена и продление выполняются вручную.
Автоматический выпуск и продление сертификатов Let's Encrypt — в разработке.
Резервное копирование (Backup)
Сервис резервного копирования (профиль backup) по расписанию создает зашифрованные инкрементальные снимки (restic) базы данных и всех писем. Снимки можно хранить локально или выгружать в S3-совместимое объектное хранилище (Яндекс Облако, VK Cloud, MinIO).