> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# بوابات أمن البريد المفتوحة: أيها تضع أمام خادمك؟
- URL: https://arabroot.io/articles/مقارنة-بوابات-امن-البريد-مفتوحة-المصدر/
- Published: 2026-10-12T17:00:00.000Z
- Updated: 2026-10-11T23:29:51.000Z
- Description: مقارنة بين بوابات أمن البريد المفتوحة والمستضافة ذاتياً، لتعرف أيها يناسب مؤسستك وأين تضعها أمام خادم البريد.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, الأمن السيبراني, البريد الإلكتروني, الاستضافة الذاتية

في مقال [كيف تعمل بوابة أمن البريد وتكشف التصيد؟](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/) شرحنا الفرق بين [البوابة أمام الصندوق والحماية عبر الواجهة البرمجية](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/#gateway-vs-api)، وكيف [يجمع المحرك فحوص المرسل والمحتوى والمرفقات في درجة واحدة](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/#inside)، ثم شغلنا [Rspamd وClamAV](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/#oss) على رسائل اختبار. وبعد أن تفهم الفكرة يأتي السؤال العملي الذي يصلنا كثيراً: أي منتج نضعه فعلاً أمام خادم البريد في مؤسستنا؟ هل نأخذ بوابة جاهزة بلوحة وحجر Quarantine وتقارير، أم نبنيها بأنفسنا من Postfix وRspamd، وكم ندفع، ومن الذي ما زال يطور منتجه حتى اليوم؟

وهذا ما سوف نجيب عنه هنا، فلن نعيد شرح طريقة عمل الفحوص، وإنما سوف نقارن المنتجات المفتوحة والمستضافة ذاتياً Self-hosted بالمعايير التي تهمك في التشغيل، ونمر على المنتجات التجارية باختصار لتعرف أين تقف، ثم نضع البوابة في مكانها الصحيح في الشبكة، سواء كان خادم البريد عندك أو كان بريدك على Microsoft 365 أو Google Workspace. والمقالات التالية هي الأساس الذي نبني عليه:

[![](https://arabroot.io/content/images/2026/10/build-email-security-cover-cover.webp)دليلكيف تعمل بوابة أمن البريد وتكشف التصيد؟كيف تفحص بوابة أمن البريد كل رسالة وتكشف التصيد والانتحال، مع تشغيل Rspamd وClamAV على رسائل اختبار.](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/)[![](https://arabroot.io/content/images/2026/10/proxmox-mail-gateway-cover-cover.webp)دليلProxmox Mail Gateway: بوابة بريد أمام خادمككيف تضع Proxmox Mail Gateway أمام خادم البريد، فيحجز التصيد والمرفقات الخطيرة ويرسل لكل موظف تقريراً يومياً بما حجز له.](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-proxmox-mail-gateway/)[![](https://arabroot.io/content/images/2026/10/email-authentication-cover-cover.webp)دليلشرح SPF وDKIM وDMARC للمبتدئين: كيف تثبت أن رسائلك منك فعلاًلماذا يستطيع أي شخص أن يرسل باسم نطاقك، وكيف يسد كل سجل من هذه السجلات الثلاثة ثغرة تركها الذي قبله.](https://arabroot.io/articles/%D8%B4%D8%B1%D8%AD-spf-%D9%88-dkim-%D9%88-dmarc-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/)

وسوف نناقش في هذا المقال ما يلي:

- معايير المقارنة التي تهم من يشغل البوابة كل يوم، لا قائمة الخصائص في صفحة المنتج.
- Proxmox Mail Gateway وHermes SEG وبوابة تبنيها من Postfix وRspamd وClamAV، مع الترخيص License والأجزاء المدفوعة وآخر إصدار ونقاط القوة ونقاط الضعف لكل منها.
- المشاريع التي توقفت ولا ننصح بالبدء بها، والمنتجات التجارية في سطر لكل منها.
- جدول للقرار، ثم مكان البوابة في الشبكة: أمام خادم البريد عبر سجل MX، وأمام البريد السحابي.

## ماذا نقارن بالضبط؟

كل البوابات في هذا المقال تقريباً مبنية من القطع نفسها، وهي Postfix لاستقبال الرسائل وإرسالها، وClamAV لفحص الفيروسات، ومحرك يعطي الرسالة درجة مثل SpamAssassin أو Rspamd، والفرق الحقيقي بينها في ما يأتي جاهزاً حول هذه القطع وما عليك أن تبنيه بنفسك. والصورة التالية تبين ذلك:

![ثلاثة أعمدة: Proxmox Mail Gateway من Postfix وSpamAssassin 4.0 وClamAV وPostgreSQL على Debian 13 برخصة AGPL-3.0 واشتراك، وHermes SEG من Postfix وAmavis وSpamAssassin وClamAV وOpenDKIM وOpenDMARC وOpenARC وCipherMail عبر Docker Compose برخصة AGPL-3.0 وإصدار Pro، والبوابة اليدوية من Postfix وpostscreen وRspamd وClamAV وRedis بإعدادك أنت](https://arabroot.io/content/images/2026/10/email-gateway-tools-03-stacks.webp)

القطع نفسها تقريباً، والفرق في اللوحة والحجر والتقارير التي تأتي جاهزة أو تبنيها بنفسك

ولذلك سوف نقارن بالمعايير التالية، وهي ما يهمك عندما تدير البوابة شهراً بعد شهر:

- **الترخيص والأجزاء المدفوعة License:** ما الذي تحصل عليه مجاناً، وما الذي يحتاج إلى اشتراك، وهل الخصائص نفسها مقفلة خلف الدفع أم الدعم فقط.
- **النشاط والصيانة Maintenance:** متى صدر آخر إصدار، فالبوابة تقف على الإنترنت مباشرة، ومنتج لا تصله تحديثات أمنية خطر بحد ذاته.
- **الحجر مع تقرير للمستخدم Quarantine Digest:** هل يرى الموظف ما حجز له في رسالة يومية ويفرج عن الرسالة المشروعة بنفسه، أم كل طلب يمر بمدير النظام.
- **التحقق من المرسل SPF وDKIM وDMARC:** هل تفحصها البوابة على البريد الوارد وتطبق سياسة DMARC، وهل توقع البريد الصادر بـ DKIM.
- **قواعد المرفقات والروابط Attachment and URL Rules:** منع الملفات التنفيذية وملفات Office التي فيها ماكرو Macro، والنظر داخل الملفات المضغوطة، وفحص الروابط.
- **فلترة الصادر Outbound Filtering:** هل تفحص البوابة ما يرسله موظفوك أيضاً، فجهاز مخترق في شبكتك قد يرسل فيروسات أو بريداً مزعجاً باسمك.
- **العنقود Clustering والدليل LDAP/AD:** هل تعمل البوابة على أكثر من سيرفر بإعداد واحد، وهل تقرأ المستخدمين والمجموعات من Active Directory.

## Proxmox Mail Gateway: بوابة جاهزة واشتراك للدعم فقط

[Proxmox Mail Gateway](https://www.proxmox.com/en/products/proxmox-mail-gateway/overview?ref=arabroot.io) واختصاراً PMG منتج من الشركة نفسها التي تطور Proxmox VE، وهو توزيعة Debian كاملة تثبتها من ملف ISO على سيرفر أو جهاز افتراضي، أو كحزم فوق Debian، أو داخل LXC، ثم تديرها من لوحة ويب على المنفذ 8006\. والإصدار الحالي هو 9.1 الذي [صدر في 11 يونيو 2026](https://pmg.proxmox.com/wiki/Roadmap?ref=arabroot.io) على Debian 13 مع SpamAssassin 4.0.2 وClamAV 1.4.4 وPostgreSQL 17، ووجدنا في المستودع العام عند كتابة المقال الحزمة pmg-api بالإصدار 9.1.4 وClamAV 1.4.6\. والكود برخصة AGPL-3.0 كما في [ملف حقوق pmg-api](https://git.proxmox.com/?p=pmg-api.git;a=blob%5Fplain;f=debian/copyright;hb=HEAD&ref=arabroot.io).

وما تدفع ثمنه هو الاشتراك Subscription، وهو بحسب [صفحة الأسعار](https://www.proxmox.com/en/products/proxmox-mail-gateway/pricing?ref=arabroot.io) كما قرأناها في 12 أكتوبر 2026 لكل سيرفر في السنة دون حد للمستخدمين أو النطاقات: Community بـ 190 يورو دون تذاكر دعم، وBasic بـ 540 يورو، وStandard بـ 1260 يورو، وPremium بـ 1900 يورو، والأسعار دون ضريبة القيمة المضافة. ولاحظ أن الصفحة تقول إن كل الخصائص بما فيها العنقود متاحة في كل المستويات، فالفرق في الدعم ومستودع Enterprise الذي تصله تحديثات مختبرة أكثر، أما دون اشتراك فتستخدم مستودع pmg-no-subscription المجاني، و[دليل الإدارة](https://pmg.proxmox.com/pmg-docs/pmg-admin-guide.html?ref=arabroot.io#pmg%5Fno%5Fsubscription%5Frepository) يقول إنه لا ينصح به للإنتاج لأن حزمه أقل اختباراً.

ومن حيث الخصائص فهو يغطي أغلب المعايير أعلاه دون أي إضافة، كما في [دليل الإدارة](https://pmg.proxmox.com/pmg-docs/pmg-admin-guide.html?ref=arabroot.io): حجر للبريد المزعج والفيروسات والمرفقات، مع تقرير يومي يصل لكل مستخدم فيه رابط يدخل به إلى حجره دون كلمة مرور أو بحساب LDAP، وفحص SPF عند استقبال الرسالة، والتحقق من توقيع DKIM للوارد وتوقيع الصادر بمفتاح واحد للبوابة، ونظام قواعد Rule System يطابق نوع المحتوى Content Type واسم الملف والملفات داخل الأرشيف، وفلترة الصادر على منفذ داخلي مستقل هو 26، وعنقود بعقدة رئيسية تزامن الإعداد مع البقية، وقراءة المستخدمين والمجموعات من LDAP وActive Directory. والصورة التالية من تثبيتنا في الدليل العملي تبين نظام القواعد، ولاحظ القاعدة التي أضفناها لحجز مستندات الماكرو:

![قائمة القواعد في Proxmox Mail Gateway 9.1.4: Blocklist وBlock Viruses وVirus Alert وBlock Dangerous Files والقاعدة المضافة Quarantine Macro Documents بأولوية 92 للوارد، وعلى اليمين تفاصيلها: الإجراء Attachment Quarantine والمجموعة Macro Documents](https://arabroot.io/content/images/2026/10/email-gateway-tools-04-pmg-rules.webp)

نظام القواعد في PMG 9.1.4: لكل قاعدة أولوية واتجاه ومجموعات من نوع من وإلى وماذا ومتى والإجراء

### نقاط القوة

- كل شيء جاهز من أول يوم: الحجر والتقرير اليومي للمستخدم ومركز التتبع Tracking Center الذي يبين ما حدث لكل رسالة، وهذا ما يوفر أكثر وقت مدير النظام.
- الاشتراك للدعم لا للخصائص، فالعنقود وLDAP والقواعد كلها في النسخة المجانية، والسعر بالسيرفر لا بالمستخدم، وهذا مهم لجامعة أو جهة فيها آلاف الصناديق.
- منتج ناضج من شركة معروفة تصدر إصدارات منتظمة، وتوثيق كامل في صفحة واحدة، وواجهة برمجية API وأداة `pmgsh` لكل ما في اللوحة.

### نقاط الضعف

- لا توجد إعادة كتابة للروابط وفحصها لحظة النقر، والموجود هو فحص الروابط في قوائم SURBL فقط، ولا يوجد تشغيل للمرفقات في بيئة معزولة Sandbox.
- سياسة DMARC ليست إعداداً في اللوحة، وإنما يطبقها محرك SpamAssassin بإضافته Plugin، وفي تجربتنا لم تعمل حتى عرفنا SpamAssassin بشبكتنا الداخلية، وتفصيل ذلك في [الدليل العملي](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-proxmox-mail-gateway/#dmarc).
- قاعدة الماكرو الافتراضية غير موجودة، والقاعدة التي تكتبها تعتمد على اسم الملف، فمستند ماكرو أعيدت تسميته إلى `.docx` مر في تجربتنا لأن البوابة لا تفتح ملفات Office كأرشيف.
- لا توجد صورة Docker رسمية، والطرق المدعومة هي ISO أو Debian أو LXC.

📘

إذا قررت أن Proxmox Mail Gateway هو الأنسب لك، فقد ثبتناه أمام خادم Postfix واختبرنا الحجر والتقرير اليومي وSPF وDKIM وDMARC وقواعد المرفقات والفلترة الصادرة وثلاث طرق لكسر الإعداد في [دليل Proxmox Mail Gateway العملي](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-proxmox-mail-gateway/).

## Hermes SEG: بوابة وتشفير وصناديق بريد في حزمة واحدة

[Hermes Secure Email Gateway](https://github.com/deeztek/Hermes-Secure-Email-Gateway?ref=arabroot.io) مشروع من شركة Deeztek، وهو اليوم حزمة Docker Compose من 19 Container على Ubuntu 24.04 بحسب ملف README، فيها Postfix وAmavis وSpamAssassin وClamAV مع مصادر توقيعات إضافية، وOpenDKIM وOpenDMARC وOpenARC، وCipherMail للتشفير بـ S/MIME وPGP وملفات PDF المشفرة، وDovecot وNextcloud إن أردت أن يكون خادم بريد كاملاً، وOpenLDAP وAuthelia للدخول بعامل ثان MFA. والمشروع نشط جداً، فآخر إصدار عند كتابة المقال هو [v261009 في 8 أكتوبر 2026](https://github.com/deeztek/Hermes-Secure-Email-Gateway/releases?ref=arabroot.io)، والرخصة AGPL-3.0، أما ملفات الإصدار Pro فلها ترخيص تجاري مستقل.

والإصدار المجتمعي مجاني، وبحسب [صفحة الأسعار](https://www.hermesseg.io/pricing/?ref=arabroot.io) كما قرأناها في 12 أكتوبر 2026 فالإصدار Pro بـ 290 دولاراً للسيرفر في السنة أو 29 دولاراً في الشهر، وPro مع الدعم بـ 460 دولاراً في السنة مع حادثتي دعم. وبحسب [صفحة الخصائص](https://www.hermesseg.io/features/?ref=arabroot.io) ففي المجتمعي الحجر مع إشعارات لكل مستلم، وSPF وDKIM للتحقق والتوقيع، وDMARC مع تقارير التجميع Aggregate Reports، وARC، وقواعد للملفات بالامتداد والتعبيرات، والتشفير، وأرشيف لكل البريد، وجلب المستلمين من LDAP وActive Directory وGoogle Workspace وMicrosoft 365، أما إعادة كتابة الروابط لحظة النقر Link Guard فهي في Pro فقط، ومعها توقيعات المؤسسة وواجهة fail2ban والدخول عبر LDAP إلى الحساب الأصلي.

### نقاط القوة

- DMARC وARC وتقارير DMARC جاهزة دون أن تكتب إعداداً بنفسك، والتشفير بـ S/MIME وPGP مدمج، وهذا نادر في البوابات المفتوحة.
- يعمل بوابة أمام Microsoft 365 أو Google Workspace أو خادم بريد كاملاً أو الاثنين معاً.
- تحديثات متكررة جداً، وسعر Pro بالسيرفر وهو منخفض مقارنة بالمنتجات التجارية.

### نقاط الضعف

- 19 Container في حزمة واحدة تعني سطحاً أكبر تحدثه وتراقبه، وتشخيص المشكلة يمر بعدة برامج.
- إعادة كتابة الروابط في Pro فقط، ولم نجد في صفحاته الرسمية وصفاً لعنقود أو توزيع حمل High Availability.
- لم نثبته في مختبرنا لهذا المقال، لذلك لا نعرض له صورة ولا أرقاماً، وكل ما ذكرناه من صفحاته الرسمية.

## بوابة تبنيها بنفسك من Postfix وRspamd وClamAV

الخيار الثالث ألا تأخذ منتجاً أصلاً، وإنما تضع Postfix على سيرفر صغير أمام خادم البريد، وتستعمل [postscreen](https://www.postfix.org/POSTSCREEN%5FREADME.html?ref=arabroot.io) لصد البرامج المزعجة قبل الحوار وقوائم الحظر DNSBL، وتربط [Rspamd](https://rspamd.com/?ref=arabroot.io) عبر واجهة Milter ليعطي كل رسالة درجة، ومعه ClamAV للفيروسات، ثم تمرر الرسالة إلى خادمك. والقطع كلها نشطة: Postfix 3.11.7 [في 7 سبتمبر 2026](https://www.postfix.org/announcements.html?ref=arabroot.io) برخصتي EPL-2.0 وIPL-1.0، وRspamd 4.2.2 [في 10 أكتوبر 2026](https://github.com/rspamd/rspamd/releases?ref=arabroot.io) برخصة Apache-2.0، وClamAV 1.5.4 [في 7 أغسطس 2026](https://github.com/Cisco-Talos/clamav/releases?ref=arabroot.io) برخصة GPL-2.0\. وفي Rspamd وحدات جاهزة لـ [SPF](https://docs.rspamd.com/modules/spf/?ref=arabroot.io) و[DMARC](https://docs.rspamd.com/modules/dmarc/?ref=arabroot.io) و[توقيع DKIM](https://docs.rspamd.com/modules/dkim%5Fsigning/?ref=arabroot.io)، ووحدة [mime\_types](https://docs.rspamd.com/modules/mime%5Ftypes/?ref=arabroot.io) التي تكشف تناقض الامتداد مع النوع وتنظر داخل ملفات zip وrar، ووحدة [antivirus](https://docs.rspamd.com/modules/antivirus/?ref=arabroot.io) التي تربطه بـ ClamAV. وقد شغلنا هذه التركيبة على رسائل اختبار في [مقال بوابة أمن البريد](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/#lab)، وشرحنا postscreen وقوائم الحظر في [دليل Postfix وDovecot](https://arabroot.io/articles/%D8%AE%D8%A7%D8%AF%D9%85-%D8%A8%D8%B1%D9%8A%D8%AF-postfix-%D9%88-dovecot-%D9%8A%D8%AF%D9%88%D9%8A%D8%A7/#antispam).

### نقاط القوة

- Rspamd محرك أحدث من SpamAssassin، وفيه DMARC وARC والتعلم الإحصائي والشبكة العصبية Neural Module من الصندوق، وكل قطعة تحدثها مستقلة عن غيرها.
- لا يوجد أي جزء مدفوع، وتعرف كل سطر في الإعداد، وهذه هي التركيبة نفسها التي يستعملها mailcow إن أردتها جاهزة مع خادم البريد.

### نقاط الضعف

- لا يوجد حجر للمستخدم ولا تقرير يومي ولا مركز تتبع، فالمتاح أن ترفض الرسالة أو تضيف ترويسة وتنقلها إلى مجلد البريد المزعج Junk في خادمك، وكل طلب «أين رسالتي؟» يمر بك وبالسجلات.
- العنقود وLDAP والقواعد الخاصة بالمجموعات تكتبها بنفسك، وهذا وقت تشغيل حقيقي كل شهر.

## مشاريع توقفت فلا تبدأ بها

عندما تبحث عن بوابة بريد مفتوحة ستجد أسماء كثيرة في المقالات القديمة، ولكن البوابة تقف على الإنترنت مباشرة، ولذلك لا تقم بتثبيت مشروع توقف عن الإصدارات مهما كانت خصائصه، والسبب أن أي ثغرة في محلل الرسائل أو الواجهة ستبقى مفتوحة. وهذه حالة أشهرها عند كتابة المقال:

- **MailCleaner:** كل مستودعات المنظمة على GitHub مؤرشفة، وصفحتها تقول إن الخدمات [أغلقت نهائياً](https://github.com/MailCleaner?ref=arabroot.io)، وآخر دفع للمستودع MailCleaner8 كان في أكتوبر 2025.
- **eFa Project:** مبني على MailScanner، وآخر إصدار للنسخة 4 في أبريل 2024 وآخر تعديل في [مستودعها](https://github.com/E-F-A/v4?ref=arabroot.io) في سبتمبر 2024.
- **Scrollout F1:** آخر ملف ISO منشور له في مارس 2018.
- **MailScanner:** ما زالت تصله تعديلات، ولكن آخر إصدار منشور كان في نوفمبر 2024، وهو قطعة فلترة لا بوابة كاملة.

## والمنتجات التجارية؟

نذكرها هنا لتعرف أين تقف البدائل المفتوحة، لا للمقارنة التفصيلية، وما يميزها كما ذكرنا في [مقال بوابة أمن البريد](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D8%AA%D8%B9%D9%85%D9%84-%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A3%D9%85%D9%86-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF/#buy-build) هو معلومات التهديد من ملايين الصناديق وتشغيل المرفقات في بيئة معزولة وإعادة كتابة الروابط:

- [Proofpoint Email Protection](https://www.proofpoint.com/us/products/email-security-and-protection/email-protection?ref=arabroot.io): بوابة أو عبر الواجهة البرمجية API، والسعر غير منشور.
- [Mimecast Email Security](https://www.mimecast.com/products/email-security/?ref=arabroot.io): بوابة سحابية Cloud SEG، والسعر بطلب عرض.
- [Cisco Secure Email](https://www.cisco.com/site/us/en/products/security/secure-email/index.html?ref=arabroot.io): صفحة المنتج اليوم عن Secure Email Threat Defense بوضعين، داخل مسار البريد وعبر API لـ Microsoft 365، والسعر لكل مستخدم بعقود سنة أو ثلاث أو خمس دون أرقام منشورة.
- [Fortinet FortiMail](https://www.fortinet.com/products/email-security?ref=arabroot.io): جهاز أو جهاز افتراضي أو خدمة سحابية، ووضع API يسحب الرسائل من Microsoft 365 وGoogle Workspace بعد التسليم.
- [Microsoft Defender for Office 365](https://learn.microsoft.com/en-us/defender-office-365/mdo-about?ref=arabroot.io): ليس بوابة MX وإنما طبقة فوق حماية Microsoft 365 الأساسية EOP، والخطة الأولى مشمولة في Microsoft 365 E3 وBusiness Premium والثانية في E5، و[السعر المنشور](https://www.microsoft.com/en-us/security/business/siem-and-xdr/microsoft-defender-office-365?ref=arabroot.io) دولاران للخطة الأولى وخمسة دولارات للثانية لكل مستخدم في الشهر بدفع سنوي.

وقد يتساءل البعض: إن كان بريدنا على Microsoft 365 وفيه Defender، فهل نضع أمامه PMG أيضاً؟ والإجابة في أغلب الحالات لا، والسبب أن البوابة الإضافية تكسر بعض فحوص المرسل وتحتاج إعداداً دقيقاً كما سنرى في [قسم البريد السحابي](#cloud-mail)، فابدأ بما تدفع ثمنه أصلاً، وضع البوابة المفتوحة حيث يكون خادم البريد عندك.

## جدول القرار

الجدول التالي يلخص ما سبق في الإصدارات المذكورة حتى 12 أكتوبر 2026، والأعمدة الثلاثة من التوثيق الرسمي، أما عمود PMG فتأكدنا منه أيضاً في مختبرنا:

| المعيار                | [Proxmox Mail Gateway](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-proxmox-mail-gateway/) | Hermes SEG                                | Postfix مع Rspamd وClamAV                  |
| ---------------------- | --------------------------------------------------------------------------------------------------------- | ----------------------------------------- | ------------------------------------------ |
| الترخيص                | AGPL-3.0، والاشتراك للدعم والمستودع المختبر                                                               | AGPL-3.0، وPro بترخيص تجاري               | EPL-2.0 أو IPL-1.0 وApache-2.0 وGPL-2.0    |
| آخر إصدار              | 9.1 في 11 يونيو 2026 (pmg-api 9.1.4)                                                                      | v261009 في 8 أكتوبر 2026                  | Postfix 3.11.7 وRspamd 4.2.2 وClamAV 1.5.4 |
| السعر                  | من 190 إلى 1900 يورو للسيرفر سنوياً، أو مجاناً دون دعم                                                    | مجاني، وPro بـ 290 دولاراً للسيرفر سنوياً | مجاني                                      |
| حجر مع تقرير للمستخدم  | نعم، تقرير يومي برابط دخول                                                                                | نعم، إشعارات لكل مستلم                    | لا يوجد، تبنيه بنفسك                       |
| SPF وDKIM وDMARC       | SPF عند الاستقبال، وDKIM للوارد والصادر، وDMARC عبر إضافة SpamAssassin                                    | الثلاثة مع ARC وتقارير DMARC              | الثلاثة مع ARC في وحدات Rspamd             |
| المرفقات               | نوع المحتوى والاسم وداخل الأرشيف                                                                          | بالامتداد والتعبيرات ولكل مستلم           | mime\_types وداخل zip وrar                 |
| الروابط                | قوائم SURBL فقط                                                                                           | Link Guard لحظة النقر في Pro              | وحدة phishing وقوائم الروابط               |
| فلترة الصادر           | نعم، على منفذ داخلي مستقل                                                                                 | نعم                                       | نعم، بإعدادك                               |
| العنقود                | نعم، في كل المستويات                                                                                      | لم نجد وصفاً رسمياً                       | تبنيه بنفسك                                |
| LDAP وActive Directory | نعم، في القواعد ودخول الحجر                                                                               | نعم، وMicrosoft 365 وGoogle Workspace     | تبنيه بنفسك                                |
| التشفير S/MIME وPGP    | لا يوجد                                                                                                   | نعم عبر CipherMail                        | لا يوجد                                    |

## أين تضع البوابة في الشبكة؟

البوابة لا تحمي شيئاً إن لم تمر بها الرسائل فعلاً، ولذلك فمكانها أهم من اسمها. والطريقة المعتادة أن يشير سجل MX لنطاقك إلى البوابة، فيتصل بها كل سيرفر في الإنترنت على المنفذ 25، وهي تفحص الرسالة ثم تسلمها لخادم البريد الداخلي، وفي الاتجاه الآخر يرسل خادم البريد كل رسائله الخارجة عبر البوابة كمضيف وسيط Smarthost، فتفحصها وتوقعها بـ DKIM ثم ترسلها، وقد شرحنا سجل MX وطريق الرسالة في [مقال كيف يعمل البريد](https://arabroot.io/articles/%D9%83%D9%8A%D9%81-%D9%8A%D8%B9%D9%85%D9%84-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF-%D8%A7%D9%84%D8%A7%D9%84%D9%83%D8%AA%D8%B1%D9%88%D9%86%D9%8A-smtp-%D9%88-imap/#mx-lookup). والصورة التالية تبين الطريقين:

![خمس خطوات مرقمة: 1 سجل MX لنطاق corp.example يشير إلى gw.corp.example، 2 رسالة من Internet تصل البوابة على SMTP 25، 3 البوابة تسلم النظيفة لخادم البريد Exchange أو mailcow أو Postfix عبر relay، 4 خادم البريد يرسل الصادر إلى البوابة على smarthost 26، 5 البوابة توقع بـ DKIM وتفحص وترسل إلى الإنترنت، وفي الأسفل تنبيه أن جدار الحماية يسمح للمنفذ 25 بالوصول إلى البوابة فقط](https://arabroot.io/content/images/2026/10/email-gateway-tools-01-position.webp)

البوابة هي سجل MX للداخل، وهي المضيف الوسيط للخارج، ولا يصل أحد من الإنترنت إلى خادم البريد مباشرة

وفي الإعداد أعلاه لاحظ التالي:

- اسمح في جدار الحماية Firewall بالمنفذ 25 من الإنترنت إلى البوابة فقط، وأغلقه إلى خادم البريد، والسبب أن المرسل المزعج لا يحترم سجل MX، وإنما يجرب كل عنوان يعرفه لنطاقك.
- المنفذ الداخلي للصادر (26 في PMG) يقبل الإرسال إلى أي مكان من الشبكات الموثوقة، فلا تقم بنشره على الإنترنت أبداً، وقد كسرنا هذا الإعداد عمداً في [الدليل العملي](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-proxmox-mail-gateway/#break-relay) فصارت البوابة مرحلاً مفتوحاً Open Relay.
- إذا كان الصادر يخرج من البوابة فعنوانها هو الذي يجب أن يكون في سجل SPF لنطاقك، وتوقيع DKIM يكون بمفتاح البوابة، وتفصيل ذلك في [مقال SPF وDKIM وDMARC](https://arabroot.io/articles/%D8%B4%D8%B1%D8%AD-spf-%D9%88-dkim-%D9%88-dmarc-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/).
- إن كان لديك سجل MX احتياطي Backup MX عند مزود آخر فهو باب خلفي يتجاوز البوابة، فإما أن يمر بفلترة مماثلة أو تحذفه.

### والبريد على Microsoft 365 أو Google Workspace؟

هنا الصناديق ليست عندك، ولكن الفكرة نفسها: سجل MX يشير إلى البوابة، والبوابة تسلم الرسائل إلى المزود عبر موصل Connector. والمشكلة أن المزود يرى كل الرسائل قادمة من عنوان البوابة لا من المرسل الحقيقي، فتفشل فحوص SPF عنده ويضعف كشفه، ثم إن عنوان المزود معروف، فالمهاجم يستطيع أن يرسل إليه مباشرة ويتجاوز بوابتك. والصورة التالية تبين ذلك:

![Internet إلى Email Gateway بسجل MX ثم إلى Microsoft 365 أو Google Workspace عبر inbound connector، وسهم أحمر متقطع من الإنترنت إلى المزود مباشرة يتجاوز البوابة، وفي الأسفل صندوق أخضر: Enhanced Filtering في Microsoft 365 أو Inbound gateway في Google Workspace ليقرأ المزود عنوان المرسل الحقيقي، وصندوق أحمر: اقبل البريد من عناوين البوابة فقط](https://arabroot.io/content/images/2026/10/email-gateway-tools-02-cloud-mail.webp)

البوابة أمام البريد السحابي تحتاج أمرين: أن يقرأ المزود المرسل الحقيقي، وأن يرفض كل ما لم يمر بالبوابة

والحل موثق عند المزودين:

- في Microsoft 365 توصي [وثائق Microsoft](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/manage-mail-flow-using-third-party-cloud?ref=arabroot.io) بموصل وارد من نوع Partner مقيد بعناوين البوابة أو بشهادتها مع الخيار `RestrictDomainsToIPAddresses` فيرفض كل ما وصل مباشرة، ثم تفعيل [Enhanced Filtering for Connectors](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/use-connectors-to-configure-mail-flow/enhanced-filtering-for-connectors?ref=arabroot.io) ليتجاوز المزود عنوان البوابة ويفحص المرسل الحقيقي، وإن كانت البوابة تعدل الرسالة فأضفها كمختوم ARC موثوق Trusted ARC Sealer.
- في Google Workspace يوجد إعداد [Inbound gateway](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-an-inbound-mail-gateway?ref=arabroot.io) تضع فيه عناوين البوابة، ومعه خيار رفض كل بريد لا يأتي منها، وخيار يجعل Gmail يبحث في الترويسات عن أول عنوان عام خارج قائمة البوابة ليفحص به SPF.

ولاحظ أن أي تعديل تجريه البوابة على الرسالة، مثل إضافة `SPAM:` إلى العنوان أو تذييل Disclaimer، يكسر توقيع DKIM الأصلي عند المزود، وهذا سبب آخر لتفضيل ARC أو تجنب تعديل الرسائل الواردة. وإن كان عملك عكس ذلك، أي منصتك ترسل باسم عميل عبر بوابة بريده، فهذا موضوع مختلف شرحناه في [الإرسال عبر بوابة بريد العميل](https://arabroot.io/articles/%D8%AA%D9%83%D8%A7%D9%85%D9%84-%D9%85%D9%86%D8%B5%D8%A9-saas-%D9%85%D8%B9-%D8%A7%D9%86%D8%B8%D9%85%D8%A9-%D8%A7%D9%84%D8%B9%D9%85%D9%8A%D9%84/#email-relay).

## أيها يناسبك؟

- **خادم بريد عندك وفريق صغير لا يريد أن يجيب على كل «أين رسالتي؟»:** Proxmox Mail Gateway، فالحجر والتقرير اليومي ومركز التتبع جاهزة، وابدأ دون اشتراك ثم اشتر Basic عندما يصبح البريد حرجاً.
- **تحتاج تشفيراً بـ S/MIME أو PGP أو تقارير DMARC من البوابة نفسها:** Hermes SEG، مع قبول أن الحزمة أكبر وأن إعادة كتابة الروابط في Pro.
- **لديك mailcow أو تحب أن تفهم كل سطر:** Postfix مع Rspamd وClamAV، أو اترك Rspamd الذي في mailcow يقوم بالعمل ولا تضف طبقة جديدة.
- **بريدك على Microsoft 365 أو Google Workspace:** فعل الحماية المشمولة في اشتراكك أولاً، ولا تضف بوابة إلا لسبب واضح، وإن أضفتها فاتبع إعداد الموصل والرفض أعلاه حرفياً.
- **خطرك الأول هو التصيد الموجه وانتحال المدير:** فهذا ما تدفع ثمنه في المنتجات التجارية، والبوابات المفتوحة هنا لا تغني عنها.

## أخطاء شائعة

- اختيار مشروع متوقف لأن صفحته تعد بخصائص كثيرة، والبوابة أول سيرفر يراه المهاجم.
- ترك المنفذ 25 مفتوحاً إلى خادم البريد بعد تركيب البوابة، فيتجاوزها المرسل المزعج ببساطة.
- نشر منفذ الصادر الداخلي على الإنترنت، أو وضع البوابة في شبكة تعتبرها موثوقة وهي ليست كذلك.
- وضع بوابة أمام Microsoft 365 دون Enhanced Filtering ودون تقييد الموصل، فتضعف الحماية بدل أن تقوى.
- الحجر دون تقرير للمستخدم، فتضيع رسائل مشروعة ويفقد الموظفون الثقة بالبريد.

## الخلاصة

وصلنا لنهاية الموضوع، وأهم ما فيه:

- البوابات المفتوحة مبنية من القطع نفسها تقريباً، والفرق في الحجر والتقرير واللوحة والعنقود التي تأتي جاهزة.
- Proxmox Mail Gateway 9.1 برخصة AGPL-3.0، والاشتراك من 190 يورو للسيرفر سنوياً للدعم والمستودع المختبر لا للخصائص.
- Hermes SEG نشط جداً ويجمع البوابة والتشفير وصناديق البريد، وإعادة كتابة الروابط في Pro بـ 290 دولاراً سنوياً.
- Postfix مع Rspamd وClamAV مجاني بالكامل وأحدث في الفلترة، ولكن الحجر والتقارير عليك.
- MailCleaner أغلق، وeFa وScrollout F1 متوقفان، فلا تبدأ بهما.
- البوابة هي سجل MX للداخل والمضيف الوسيط للخارج، وأمام البريد السحابي تحتاج موصلاً مقيداً وقراءة المرسل الحقيقي.

وفي [الدليل العملي](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-proxmox-mail-gateway/) سوف تجد Proxmox Mail Gateway يعمل أمام خادم Postfix بمخرجات حقيقية لكل ما ذكرناه هنا.

## سجل التحديثات

- أكتوبر 2026: كتابة المقال، والأسعار والإصدارات كما قرأناها من الصفحات الرسمية في 12 أكتوبر 2026، ونتائج Proxmox Mail Gateway من تثبيتنا للإصدار 9.1 (pmg-api 9.1.4) على Docker Engine 29.8.0.