{"id":558,"date":"2026-09-06T01:22:20","date_gmt":"2026-09-06T04:22:20","guid":{"rendered":"https:\/\/www.linuxpro.com.br\/2026\/09\/a-historia-do-postfixadmin\/"},"modified":"2026-09-08T12:37:13","modified_gmt":"2026-09-08T15:37:13","slug":"a-historia-do-postfixadmin","status":"publish","type":"post","link":"https:\/\/www.linuxpro.com.br\/en\/2026\/09\/a-historia-do-postfixadmin\/","title":{"rendered":"A hist\u00f3ria do PostfixAdmin: o balc\u00e3o do usu\u00e1rio virtual"},"content":{"rendered":"

\"Mascote<\/p>\n

Em 2002 Mischa Peters, da High5!, abriu um PHP para n\u00e3o editar o MySQL na m\u00e3o: dom\u00ednio virtual, mailbox, alias. Chamou de PostfixAdmin. GPL. O Postfix<\/a> entregava; faltava o balc\u00e3o. Vinte e quatro anos depois o PostfixAdmin 4.0.5 (5 de julho de 2026) ainda \u00e9 esse balc\u00e3o \u2014 agora com TOTP, senha de app, DKIM, Smarty, postfixadmin-cli<\/code> e PHP 8. A parede de caixas de lat\u00e3o na capa \u00e9 literal: cada gaveta um usu\u00e1rio virtual.<\/p>\n

<\/p>\n

High5!, 2002: o virtual user ganha web<\/h2>\n

O Postfix, desde 1998, fala mapa. virtual_mailbox_maps<\/code>, virtual_alias_maps<\/code> \u2014 arquivo, hash, MySQL. Quem hospeda dezenas de dom\u00ednio n\u00e3o quer INSERT<\/code> no mysql e um postmap<\/code> depois. Mischa Peters fez a interface. Copyright 2002\u20132005 High5!. INSTALL.md<\/code> ainda abre com o nome dele. Requisitos da \u00e9poca: Apache, PHP, MySQL ou PostgreSQL, e um Perl para o vacation. O IMAP do outro lado podia ser Courier; o que pegou foi o Dovecot<\/a>, lendo a mesma tabela.<\/p>\n

O recorte cl\u00e1ssico \u2014 o \u201cstack PFA\u201d \u2014 ficou: Postfix na 25\/587, Dovecot na 143\/993, SASL no Dovecot, mapa SQL no Postfix, senha no mesmo hash que o IMAP engole. O PHP s\u00f3 escreve a linha. Superadmin cria dom\u00ednio e admin. Domain-admin mexe s\u00f3 no que lhe deram. Usu\u00e1rio troca senha, encaminha e liga vacation. Desde a 2.2.0 o login unificou: caiu o \/admin<\/code> duplicado; todo mundo passa pelo mesmo login.php<\/code>.<\/p>\n

Christian Boltz, GingerDog e o SourceForge<\/h2>\n

Christian Boltz (openSUSE, cboltz<\/code>) entrou de usu\u00e1rio: em setembro de 2006 largou o Plesk pelo PostfixAdmin, come\u00e7ou a mandar patch e n\u00e3o parou. David Goodwin (gingerdog<\/code>) \u00e9 o outro nome da placa. O SourceForge registrou o projeto em 20 de mar\u00e7o de 2007; o c\u00f3digo j\u00e1 tinha cinco anos. Lista, wiki, RPM. Em 2012 a 2.3.5 fechou SQL injection e XSS \u2014 Boltz pediu CVE na oss-sec. A 2.3.x foi o est\u00e1vel longo.<\/p>\n

A 3.0 levou anos. Beta por mais de dois. Em 11 de setembro de 2016 Boltz tirou o r\u00f3tulo: 3.0 est\u00e1vel. Reescrita para classes *Handler<\/code> (web e CLI no mesmo c\u00f3digo), edit.php<\/code> gen\u00e9rico no lugar de um PHP por objeto, Smarty, postfixadmin-cli<\/code>, SQLite, hook $CONF['*_struct_hook']<\/code> para campo extra. Vacation com data de in\u00edcio e fim. Fetchmail. Alias de dom\u00ednio. O 2.3 ainda recebia furo cr\u00edtico um tempo; o recado era upgrade.<\/p>\n

GitHub, 3.3 e o hash da senha<\/h2>\n

O git foi para github.com\/postfixadmin\/postfixadmin<\/code>. SourceForge virou placa \u201co projeto mudou\u201d. A 3.3 ficou o ramo de PHP velho (7.0+). A 3.3.16 saiu em 9 de setembro de 2025, para quem n\u00e3o pode pular. O hash da senha \u00e9 o ponto que parte instala\u00e7\u00e3o: o que o PHP grava o Dovecot tem de ler. doveadm pw<\/code> foi muleta por anos \u2014 proc_open<\/code>, permiss\u00e3o, dor. Por volta de 2023 o pacrypt<\/code> nativo em PHP come\u00e7ou a cobrir MD5-CRYPT, SHA512-CRYPT, bcrypt, Argon2i\/id, SSHA. A 4.0 quase larga o doveadm<\/code>. Errar o $CONF['encrypt']<\/code> \u00e9 o jeito cl\u00e1ssico de o IMAP dizer \u201csenha inv\u00e1lida\u201d com o admin jurando que digitou certo.<\/p>\n

4.0: TOTP, DKIM, Composer<\/h2>\n

A 4.0.0 ficou em rascunho. Boltz achou detalhe; Goodwin publicou a 4.0.1 em 14 de setembro de 2025<\/strong> como primeiro v4 de verdade. SemVer a partir de junho de 2025. O que entrou:<\/p>\n