O Roundcube nasceu num projeto pessoal na Suíça, em julho de 2005: um webmail IMAP em PHP que usava Ajax de verdade, não um formulário CGI. A primeira estável saiu em 4 de março de 2008. A 1.0, em 7 de abril de 2014. Em 10 de maio de 2026 chegou a 1.7. Em 6 de setembro de 2026 — o dia em que este texto foi publicado — saíram os patches 1.7.4 e 1.6.19. É o webmail que o cPanel pôs no lugar do SquirrelMail, que o ISPConfig empacota e que o Nextcloud adotou em 2023.
Um side-project em 2005
Thomas Bruederli, engenheiro suíço, cansou do webmail da época: texto formatado, reload a cada clique, cara de 1999. O navegador já fazia XMLHttpRequest. Ele quis um cliente IMAP que parecesse aplicativo — arrastar mensagem, endereço que completa enquanto se digita, HTML de verdade — rodando num LAMP qualquer.
Em 17 de junho de 2005 o site já mostrava screenshots da alpha. Em 21 de julho de 2005 saiu o 0.1-alpha no SourceForge: “é só desenvolvimento e provavelmente bem buggy”. Em 7 de outubro, SQLite, PostgreSQL e as primeiras traduções (francês, italiano, espanhol, dinamarquês, holandês). Em 19 de fevereiro de 2006, o 0.1-beta. Dois anos de nightly. Sem roadmap corporativo. “Aconteceu naturalmente”, disse Thomas em 2023, na entrevista com o Nextcloud.
0.1-stable: 4 de março de 2008
O anúncio oficial: depois de mais de dois anos, a primeira versão considerada boa para produção. Ainda não era o webmail dos sonhos — o próprio texto admite. O compositor HTML no TinyMCE vinha ligado, mas experimental. E era a última release em PHP 4: o projeto GoPHP5 pedia PHP 5, e o Roundcube obedeceu a partir da 0.2.
Em 9 de junho de 2008 a 0.2-alpha já trazia sanitização DOM do HTML (o XSS de mensagem é o fantasma de todo webmail) e largava o PHP 4. Em 30 de dezembro, a 0.2-stable: script de upgrade, uns 80 bugs. Daí a série 0.x andou um ano sim, um ano não — 0.3 (set/2009), 0.4 (ago/2010), 0.5 (jan/2011) — até a 0.9 em abril de 2013, já com o Roundcube Framework separado e PDO no lugar do PEAR:MDB2.
O que o cubo faz
Arquitetura chata, de propósito. Apache/nginx + PHP. IMAP para ler, SMTP para mandar. MySQL, PostgreSQL ou SQLite para sessão, contatos e preferências. Sem servidor de correio próprio: o Roundcube é a cara, não o Postfix. Interface em XHTML/CSS, skins, plugins. GPL-3.0-or-later, com exceção para skins e plugins de terceiros.
O Ajax era o recado de 2005: a lista de mensagens não recarrega a página inteira, o endereço completa, o anexo sobe em drag-and-drop (isso veio depois, na 0.9). Mais de 70 idiomas. vCard, LDAP, pastas compartilhadas com ACL, identidades, PGP via Mailvelope, OAuth. Em 2009 dois desenvolvedores do núcleo citaram a Universidade de Michigan com mais de 70 mil contas — o maior deploy que conheciam.
1.0, oito anos depois
Em 7 de abril de 2014 Thomas anunciou a 1.0.0 na lista: “depois de mais de oito anos desde a publicação inicial, nos sentimos seguros para chamar de one-dot-oh.” Configuração numa arquivo só, import de mensagens, LDAP avançado, rascunho no localStorage, respostas prontas, teclado na lista, lembrete de anexo. Nascia o repositório de plugins. A cerveja do anúncio era literal.
O cPanel — e, com ele, HostGator, OVH, Gandi e uma geração de painéis de hospedagem — adotou o Roundcube no lugar do SquirrelMail. No Linux de servidor, o cubo virou o webmail default de quem não queria Horde nem Zimbra. O ISPConfig no Debian empacota o mesmo cliente; o curso de e-mail com Postfix é o chão em que ele pisa.
Roundcube Next: o crowdfunding que não chegou
Em 3 de maio de 2015, Roundcube e Kolab Systems AG anunciaram uma reescrita: calendário, chat, arquivos, WebRTC, conectores Dropbox/ownCloud. A campanha pedia US$ 80 mil. Em 24 de junho a meta bateu; o total foi US$ 103.541. Em 2016 o desenvolvimento parou. Backers sem update, sem reembolso. Phoronix cobriu o atraso em 2016 e o cadáver em 2018. Num issue do GitHub, um desenvolvedor do Roundcube disse que o projeto não tinha ownership da campanha Next — apesar do nome e da página. O 1.x clássico, PHP e IMAP, é o que sobreviveu.
Aleksander Machniak (Alec), da Kolab, assina as releases de 2026. Thomas foi sumindo à medida que os filhos nasceram: “o tempo fora do trabalho mudou de lado.”
Elastic, o cubo no bolso
A 1.4.0 saiu em 9 de novembro de 2019. Depois de mais de dois anos de trabalho do Alec e voluntários, o skin Elastic — LESS, responsivo, celular — virou o default. Bounce de e-mail, Mailvelope melhor, Redis/Memcached, SMTPUTF8, GSSAPI. O anúncio pedia para customizar cores do Elastic: webmail com cara de Gmail genérico é convite a phishing.
A 1.6.0 (28 de julho de 2022) limpou o código e abraçou PHP 8.1, largando PHP < 7.3. A 1.5.x morreu de suporte. A 1.6 virou LTS quando a 1.7 nasceu.
Nextcloud, 29 de novembro de 2023
Thomas procurou o Frank Karlitschek. “Foi o primeiro nome que veio à cabeça.” O Nextcloud virou steward: contratar gente, fórum próprio, o cubo continua produto separado — não substitui o Nextcloud Mail, não vira um plugin obrigatório. A ideologia é a mesma: self-host, IMAP seu, sem Gmail no meio. Harvard, Cambridge e a Comissão Europeia aparecem no anúncio do Nextcloud como usuários; o cubo já estava em painel de hospedagem e em NAS Synology muito antes do casamento.
1.7 e o preço do HTML
A 1.7.0 (10 de maio de 2026) exigiu PHP ≥ 8.1, matou Internet Explorer, SQL Server e Oracle, e tornou obrigatório o document root em public_html/ — os estáticos passam por static.php. Markdown na composição, busca avançada, menu rápido na lista, OAuth2/OIDC de verdade (discovery, logout).
Webmail que renderiza HTML de desconhecido é superfície de XSS. Em 2023 o grupo Winter Vivern (TA473) explorou XSS no Roundcube contra governos europeus: abrir o e-mail bastava. O APT28 russo usou a mesma classe contra servidores ucranianos. Em fevereiro de 2026 a CISA avisou exploração ativa; os patches foram 1.6.13 e 1.5.13. Em 6 de setembro de 2026 saíram 1.6.19 e 1.7.4 (CSS smuggling, injeção de header, XSS em TNEF/editor). Não é drama de marketing: é o ofício. Quem deixa 1.5.x no ar está fora de suporte.
No Linux, hoje
Debian/Ubuntu ainda empacotam roundcube — costuma atrasar da upstream. O caminho de quem manda no servidor é o tarball de roundcube.net/download ou a imagem Docker oficial, apontando o virtual host para public_html/ na 1.7. IMAP e SMTP já existentes (Dovecot + Postfix, o combo do ISPConfig). Banco à parte. Plugin só do repositório ou do GitHub do projeto — o cemitério de plugins 2012 é o outro XSS.
# conferir o que o painel instalou
dpkg -l 'roundcube*' 2>/dev/null
# a série que ainda recebe patch em setembro de 2026: 1.6 LTS e 1.7
Subir versão: backup do config/config.inc.php e do banco, ler o UPGRADING da tag, não pular a 1.7 sem testar o document root novo.
O que ficou
Um suíço, um alpha de 2005, um cubo isométrico. O Next de 2015 não veio. O 1.x veio, o Elastic veio, o Nextcloud veio, o patch de setembro de 2026 veio. O recado não mudou: o e-mail continua IMAP na sua máquina, e a cara no browser ainda pode ser software livre.
Site: roundcube.net · código: github.com/roundcube/roundcubemail · 1.7.4: releases/tag/1.7.4 · entrevista Thomas/Frank: Nextcloud, nov/2023.