Co to jest protokół POP3 i czym różni się od IMAP?

Protokół POP3 to standard internetowy służący do jednokierunkowego pobierania wiadomości e-mail z serwera na dysk lokalny urządzenia, po którym zazwyczaj następuje ich bezpowrotne usunięcie ze źródła. Różnica względem IMAP polega na tym, że IMAP działa jak lustro synchronizujące foldery w czasie rzeczywistym na wielu sprzętach jednocześnie, zostawiając maile na serwerze pocztowym. To brutalnie prosta mechanika. Pobierasz i znika. Koniec historii.

Pamiętam konfigurację starych klientów poczty na osiedlu w bloku przy ulicy Wiosennej w Warszawie, gdzie lokalny dostawca internetu mocno ciął koszty na dyskach twardych. Ludzie tracili setki maili. Dlaczego? Domyślny Outlook Express na starym Windowsie po prostu czyścił skrzynkę u operatora po każdym uruchomieniu. Dzisiaj mało kto w ogóle rozumie ten ból, bo wszyscy siedzą w chmurze. Prawda jest zresztą absolutnie taka, że mało komu chce się dzisiaj ręcznie konfigurować protokół POP3. Siedzisz o 3 w nocy na zdalnym pulpicie, poprawiasz ustawienia portów u klienta, który uparł się na archiwizację lokalną. System wypluwa błędy certyfikatów SSL na porcie 995. Wdrażasz to na szybko przed wtorkowym porankiem i modlisz się, żeby plik PST na jego dysku nie przekroczył fizycznego limitu pojemności partycji. To u nas w sumie chyba hipoteza z wczoraj, bo pewności do tych trendów rynkowych nikt obecnie nie ma o 2025 r. Ludzie po prostu klikają autokonfigurację. I tyle.

Co to jest protokół POP3 i czym różni się od IMAP na poziomie technicznym?

Post Office Protocol version 3 (POP3) został zaprojektowany w czasach, gdy dostęp do internetu był drogi, wolny i przerywany. Zasada działania przypomina klasyczną skrzynkę na listy wbudowaną w drzwi twojego domu. Listonosz wrzuca tam kopertę. Ty wyciągasz ją ze skrzynki i kładziesz na biurku. Skrzynka jest znowu pusta. Serwer pocztowy w architekturze POP3 pełni wyłącznie funkcję tymczasowej przechowalni wiadomości e-mail. Kiedy program pocztowy taki jak Thunderbird, Apple Mail czy Microsoft Exchange nawiązuje połączenie TCP z serwerem, autoryzuje się, a następnie wysyła komendę RETR (Retrieve).

Wiadomość ląduje na twoim SSD. Następnie aplikacja wysyła komendę DELE (Delete). Serwer kasuje plik u siebie. Zwalnia miejsce.

Internet Message Access Protocol (IMAP) to zupełnie inna kategoria oprogramowania. Zamiast pobierać i usuwać, IMAP tylko czyta nagłówki wiadomości. Gdy odpalasz aplikację na smartfonie, widzisz dokładnie ten sam układ folderów, co na komputerze stacjonarnym w biurze. Przeczytanie maila na telefonie oznacza go jako przeczytanego wszędzie. Usunięcie maila przenosi go do kosza na serwerze, a zmiana ta natychmiast replikuje się na wszystkich podłączonych ekranach. Serwer trzyma absolutnie wszystko.

Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek. Klienci nagle dzwonią do helpdesku, że nie widzą ważnych faktur na telefonie iPhone. Szukamy problemu w logach serwera. Okazuje się, że księgowa włączyła rano stary komputer stacjonarny w biurze, na którym Outlook miał ustawiony POP3. Komputer ściągnął wszystko i wyczyścił serwer do zera. Reszta firmy została z pustymi skrzynkami na smartfonach. Taki to urok starych standardów.

Dlaczego poczta znika z serwera po pobraniu przez telefon?

To najczęstsze pytanie, jakie trafia na fora dyskusyjne wsparcia technicznego. Jeżeli twoje maile znikają z serwera pocztowego nazwa.pl, home.pl czy Google Workspace natychmiast po tym, jak spojrzysz na nie w telefonie, masz źle ustawiony protokół odbierania. Klient poczty działa w trybie POP3 bez zaznaczonej opcji „Pozostaw kopię wiadomości na serwerze”.

Opcja pozostawiania kopii to tak naprawdę rzemieślniczy hack, wprowadzony przez rozszerzenie UIDL (Unique ID Listing). W założeniu POP3 miał czyścić serwer. Żeby to obejść, programiści wymyślili, że klient pocztowy będzie pobierał unikalne identyfikatory maili, zapisywał je sobie w lokalnym pliku ukrytym, a przy kolejnym połączeniu pobierał tylko te wiadomości, których ID jeszcze nie zna. To działa, ale do czasu. Wystarczy uszkodzenie tego lokalnego pliku indeksu, a twój program pocztowy nagle pobierze ponownie pięć tysięcy starych maili, tworząc gigantyczny bałagan w skrzynce odbiorczej. Miałem taki przypadek u klienta w zeszłym miesiącu. Odtwarzanie struktury katalogów zajęło nam bite cztery godziny.

Który port wpisać w ustawieniach poczty dla POP3 i IMAP?

To jest całkowicie uzależnione od tego, czy używasz szyfrowania. Sprawdź teraz ustawienia swojego klienta pocztowego. Jeśli widzisz tam port 110, masz poważny problem z bezpieczeństwem.

• Port 110 to domyślny, przestarzały port dla nieszyfrowanego ruchu POP3. Hasła i treści maili lecą przez sieć otwartym tekstem. Każdy sniffer w publicznej sieci Wi-Fi w kawiarni wyłapie twoje dane logowania w ułamku sekundy. Używamy tego dzisiaj wyłącznie w odizolowanych środowiskach lokalnych, np. gdy stary skaner sieciowy wysyła PDFy do serwera w tej samej szafie rackowej bez wyjścia na świat.
• Port 995 to POP3S. Ruch jest szyfrowany przez SSL/TLS. Wymuszasz to ustawienie wszędzie, gdzie tylko się da.
• Port 143 to nieszyfrowany IMAP.
• Port 993 to bezpieczny IMAPS z szyfrowaniem.

Zdecydowana większość dostawców hostingu w Polsce blokuje obecnie całkowicie ruch na portach 110 i 143 ze względów bezpieczeństwa dyktowanych przez audyty. Zmieniliśmy te zasady na robocie już lata temu. Brak wsparcia dla starych portów to nie błąd serwera, to celowa blokada administracyjna.

Jakie są wady i zalety protokołu POP3 w środowisku firmowym?

Najgorszą rzeczą przy POP3 jest całkowity brak backupu w chmurze ze strony dostawcy. Utopisz laptopa i tracisz całą korespondencję biznesową z pięciu lat. Sprzęt idzie na złom, a ty zostajesz bez kontaktów i umów.

Mimo to, istnieją wciąż wąskie zastosowania, gdzie ten archaiczny standard trzyma się mocno. Zwalnia miejsce na serwerze, co ratuje budżet na hosting, gdy firma korzysta z tanich współdzielonych maszyn, a pracownicy wymieniają się gigabajtami załączników w formacie PDF i CAD. Zrzucasz to wszystko na lokalny dysk twardy laptopa i problem znika z radaru administratora. Ograniczasz w ten sposób koszty infrastruktury. Druga sprawa to systemy ticketowe i automatyczne parsery. Jeżeli masz w firmie aplikację, która ma za zadanie odebrać maila z fakturą, przetworzyć załącznik XML i wrzucić go do bazy danych ERP, użycie POP3 jest logicznym wyborem. Aplikacja pobiera plik, procesuje go i kasuje z serwera, żeby nie przetwarzać go podwójnie przy kolejnym cyklu sprawdzania skrzynki. Proste warunki brzegowe.

Z drugiej strony mamy wdrożenia IMAP. Tutaj zyskujemy spójność. Odpowiadasz na maila z telefonu w pociągu, a po powrocie do biura widzisz tę odpowiedź w folderze „Wysłane” na swoim głównym komputerze. To absolutny standard pracy. Wadą jest ogromny apetyt na przestrzeń dyskową na serwerze. Bazy mailowe potrafią puchnąć do setek gigabajtów, co przy drogich dyskach NVMe u dostawców chmurowych generuje wysokie faktury za subskrypcje.

Czy POP3 jest bezpieczny i szyfruje moje hasła?

Sam w sobie protokół POP3 nie ma żadnych wbudowanych mechanizmów kryptograficznych. Został zdefiniowany w dokumencie RFC 1939 w roku 1996. Wtedy nikt nie myślał o atakach Man-in-the-Middle na taką skalę jak dzisiaj. Bezpieczeństwo zapewnia dopiero warstwa transportowa, czyli TLS (Transport Layer Security), po której puszczamy komendy POP3. Nawiązanie połączenia na porcie 995 gwarantuje, że zanim klient poczty wyśle komendę USER i PASS z twoimi danymi logowania, cały kanał komunikacyjny zostanie zaszyfrowany kluczem asymetrycznym serwera.

Oprócz szyfrowania w locie, niektóre serwery obsługują mechanizm APOP, który wysyła do serwera tylko skrót MD5 z hasła połączonego z unikalnym ciągiem znaków z powitania serwera. Dzisiaj to jednak rzadkość. MD5 jest uważany za kryptograficznie złamany i podatny na ataki kolizyjne. Polegamy po prostu na czystym TLS.

Co wybrać do Outlooka na komputerze biurowym: POP3 czy IMAP?

Wybierasz IMAP. Zawsze. Konfiguracja POP3 na komputerze pracownika to proszenie się o kłopoty przy pierwszej awarii dysku SSD. Jeżeli brakuje wam miejsca na serwerze pocztowym, kupcie wyższy pakiet hostingowy albo zmigrujcie usługi do Microsoft 365 lub Google Workspace. Skąpstwo na przestrzeni dyskowej mści się okrutnie w momencie, gdy trzeba odtworzyć historię ustaleń z ważnym klientem przed sądem, a jedyna kopia maila znajdowała się na zalanym kawą laptopie handlowca.

Jeżeli musisz zarchiwizować starą pocztę, użyj natywnych funkcji archiwizacji w Outlooku. Program przeniesie stare wiadomości z serwera IMAP do lokalnego pliku bazy danych OST lub PST, odciążając chmurę, ale zostawi bieżącą korespondencję dostępną z poziomu telefonu. Zbudujesz w ten sposób hybrydowe ujęcie problemu bez naruszania wygody użytkownika.

Warto przyjrzeć się też nagłówkom e-maili przy debugowaniu problemów z pobieraniem. Klient poczty działa w oparciu o sztywny protokół. Jeśli serwer pocztowy (MTA) rzuci błędem podczas zapisu pliku do fizycznej struktury katalogów Maildir u siebie na dysku, IMAP natychmiast odzwierciedli ten błąd na twoim ekranie. Z kolei klient skonfigurowany pod POP3 po prostu zwróci generyczny błąd połączenia i przestanie pobierać cokolwiek, blokując kolejkę na pierwszej uszkodzonej wiadomości. Często jedynym ratunkiem jest zalogowanie się przez Webmail przez przeglądarkę, ręczne skasowanie zablokowanego maila z dziwnym załącznikiem i ponowne odpalenie pobierania w Outlooku.

Podsumowując tę całą techniczną przepychankę, protokół POP3 i IMAP to dwa różne światy z innych epok rozwoju internetu. Zrozumienie, co to jest protokół POP3 i czym różni się od IMAP, pozwala uniknąć katastrofy z utratą danych w małej firmie. Nie wierz ślepo w autokonfigurację programów. Wejdź w zaawansowane ustawienia konta, sprawdź porty, zweryfikuj szyfrowanie. Skasuj stare konta POP3, jeśli używasz poczty na więcej niż jednym urządzeniu. Zrób to dzisiaj przed wyjściem z biura, żeby uniknąć pożaru jutro rano.

Bibliografia

1. Naukowa i Akademicka Sieć Komputerowa (NASK) – https://www.nask.pl
2. Internet Engineering Task Force (IETF) – https://www.ietf.org
3. CERT Polska – https://cert.pl
4. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
5. Wydawnictwo Naukowe PWN – https://pwn.pl