الأمان

ما يضمنه mailctl بشأن بيانات الاعتماد والتغييرات المُتلِفة وصفحة الإدارة.

.md

يحمل mailctl رموز API لمزوّدي DNS والبريد. ويستطيع إنشاء صناديق بريد حقيقية وتغييرها وحذفها. خصائصه الأمنية جزء من سلوكه، وتفرض الاختبارات ما في هذه الصفحة منها.

للإبلاغ عن ثغرة، افتح تنبيهًا أمنيًا خاصًا. لا تفتح مسألة عامة. وإن انكشفت بيانات اعتماد لك، فبدّلها أولًا، ولا ترسلها إلينا.

بيانات الاعتماد

لا يصل أي شيء حساس إلى الإخراج القياسي: لا رمز API، ولا رمز وصول OAuth، ولا بيانات اعتماد صندوق بريد. فالرمز على الإخراج القياسي ينتهي في مسار عمل أو سجل CI أو تاريخ الطرفية.
ملف الإعداد لا يحمل بيانات اعتماد: يذكر الإعداد اسم متغير بيئة. ويقرأ mailctl القيمة من البيئة، أو من سلسلة مفاتيح macOS، لحظة الحاجة إليها. والمتغير غير المضبوط خطأ، ولا يكون نصًا فارغًا أبدًا.
تُحجب الأسرار في التشخيص: يحذف String() في كل عميل API سرّه، فلا يستطيع خطأ يتضمن عميلًا تسريبه. ولا يعيد طلب رمز OAuth الفاشل نص استجابته أبدًا، لأن نقطة رموز Microsoft تعكس الطلب، بما فيه سر العميل.
يُبلَّغ عن بيانات الاعتماد المولّدة مرة واحدة، وفقط حين توجد: يُبلَّغ عن بيانات الاعتماد حين يوجد الصندوق لدى المزوّد، لا حين يُخطَّط له. وبعد فشل جزئي تحصل بالضبط على بيانات الاعتماد الحية. وإن فشلت كتابتها في ملف، تذهب إلى الخطأ القياسي بدلًا من ذلك، لأن بيانات الاعتماد المولّدة لا يمكن قراءتها من أي مزوّد.

راجع بيانات الاعتماد والبيئة لمعرفة مصدر كل قيمة ومكان ذهاب القيم المولّدة.

التغييرات المُتلِفة

حذف صندوق بريد يتطلب -prune و-prune-mailboxes، ثم سؤالًا يطلب منك كتابة اسم النطاق. ولا يتخطّى -yes إلا السؤال.
حذف catchAll يعني "اترك ما هو موجود"، لا "احذفه" أبدًا.
لا يُكتب فوق سجل DNS لم ينشئه mailctl بصمت أبدًا. التعارض يُفشل الخطة حتى تمرّر -replace-dns.
يُحدَّد المستخدمون بمعرّف كائن المزوّد حيث تسمح الواجهة، لا بعنوان قد يطابق حسابًا آخر أبدًا.
الخيار الخاص بأمر واحد يُرفض على الأوامر الأخرى بدل تجاهله.

راجع عن الحذف.

الوكلاء

الوكيل الذي يستخدم mailctl mcp لا يستطيع حذف أي شيء، ولا تطبيق خطة لم ترها، ولا قراءة بيانات اعتماد. تُعامَل سجلات DNS وردود المزوّدين والإعدادات المستوردة كبيانات، لا كتعليمات أبدًا. راجع الوكلاء وMCP.

صفحة الإدارة

يستمع mailctl ui على واجهة الاسترجاع المحلية فقط، وليس له تسجيل دخول. يرفض الطلبات لاسم مضيف آخر والكتابات التي يبدأها موقع آخر، ويعمل تحت Content-Security-Policy صارمة. ولا يستطيع تطبيق تغييرات. راجع صفحة الإدارة.

تحديد نطاق رموزك

امنح رمز Cloudflare صلاحية تعديل DNS على المناطق التي يديرها mailctl فقط، لا على الحساب كله.
استخدم تسجيل تطبيق مخصصًا في Microsoft Entra لـ mailctl. صلاحيات التطبيق التي يحتاجها (Domain.ReadWrite.All وUser.ReadWrite.All وOrganization.Read.All) واسعة، فلا تُعِد استخدام تطبيق له منح أخرى.

النطاق

mailctl عميل. لا يستقبل البريد ولا يخزّنه ولا يمرّره. ومستمعه الوحيد صفحة الإدارة على واجهة الاسترجاع، ولا تعمل إلا ما دام mailctl ui يعمل. والـ Worker الخاص بسياسة MTA-STS الذي يمكنه نشره على Cloudflare يقدّم مستند سياسة ثابتًا واحدًا عبر HTTPS ولا يقرأ أي مدخلات.

عدّل هذه الصفحة آخر تحديث 13 أكتوبر 2026