webmailMaquita: Webmail open source con eDiscovery y DLP para Postfix y Dovecot
Suite colaborativa bajo AGPL-3.0 que añade cumplimiento y seguridad de correo a servidores autogestionados sin cuotas por usuario.
El equipo detrás de webmailMaquita ha publicado una suite de correo web y colaboración bajo licencia AGPL-3.0. El objetivo es claro: añadir capacidades de cumplimiento legal, como eDiscovery y DLP, a servidores de correo autogestionados basados en Postfix y Dovecot, sin depender de licencias comerciales por usuario ni de suites en la nube.
La herramienta surge de una necesidad práctica. En entornos de producción con Postfix y Dovecot, herramientas como Roundcube resultaban insuficientes para auditoría avanzada, mientras que las funciones de DLP y cumplimiento suelen estar reservadas a paquetes empresariales costosos. WebmailMaquita propone una capa open source que mantiene el control de la infraestructura en manos del administrador local.
La interfaz se construye con React y FastAPI, soportando hilos de conversación, etiquetas, reglas Sieve y búsqueda a texto completo. Incluye productividad básica como calendario y contactos vía CalDAV/CardDAV, tareas en formato Kanban y chat. En seguridad, incorpora autenticación de dos factores (TOTP) y cifrado en reposo mediante Dovecot mail_crypt.
Seguridad y cumplimiento
El bloque de seguridad es donde la herramienta diferencia su propuesta. Integra SPF, DKIM, DMARC y Rspamd para la autenticación de correo. Añade una capa de anti-spoofing que detecta dominios similares, homoglyphs e impersonación de roles internos. El DLP en salida detecta datos sensibles como números de identificación nacional, NIF/CIF, IBAN y datos de tarjetas de pago. Es compatible con Outlook y clientes móviles a través de un milter. También incluye una defensa activa que detecta y contiene cuentas comprometidas que generan alto volumen de correo saliente.
En el frente de cumplimiento, el sistema ofrece búsqueda forense en todos los buzones, legal holds y gestión de custodios. Las exportaciones de correo incluyen firmas digitales GPG y sellos de tiempo conforme al RFC 3161. El sistema registra 39 tipos de eventos, permitiendo correlación de extremo a extremo desde Postfix hasta la acción del usuario.
Otras funcionalidades incluyen un disco compartido con integración de OnlyOffice y un módulo de IA local opcional basado en Ollama y Whisper para dictado y sugerencias, evitando el envío de datos a APIs externas. El despliegue es nativo en Debian mediante un script reproducible.
¿Qué falta? Los desarrolladores son transparentes sobre las limitaciones. Las políticas de retención se pueden definir, pero el purgado automático sigue en desarrollo. La cuarentena la gestionan actualmente los administradores manualmente. La validación se ha realizado con aproximadamente 300 buzones y más de 100.000 correos, pero no está probada en despliegues con miles de usuarios concurrentes.
El código está disponible en el repositorio de GitHub. El equipo solicita pruebas en instalaciones limpias de Debian, revisiones de seguridad y contribuciones de administradores de sistemas para validar la escala real.
