По умолчанию пользователь может при входе задать протокол (POP3 или IMAP), по которому будет производиться подключение к серверу, а также адрес сервера. Кроме того, можно выбрать из огромного количества языков интерфейса тот, с которым вам удобнее работать (в списке присутствует и русский). Если вы хотите обеспечить пользователям возможность работать только с вашим сервером по конкретному протоколу, в файле conf/login.inc задайте параметр $default_host, а также присвойте значение «1» переменным, отвечающим за отображение соответствующих подписей к полям ($hide_protocol, $hide_host и др.) Выбор протокола осуществляется указанием порта ($default_port), кроме того, протокол и номер порта можно указать и в переменной $default_host (см. комментарии в конфигурационном файле). Здесь же вы можете указать и используемый по умолчанию язык интерфейса ($default_lang).

Вы можете подстроить в других файлах в каталоге conf еще некоторые параметры. Однако если возникнет желание внести более серьезные изменения в интерфейс (например, добавить на стартовую страницу свой логотип), то придется заняться непосредственной правкой php-файлов. Впрочем, структура пакета не слишком сложна, и разобраться при необходимости в ней не составит особого труда.

Кажется, что проще и быть не может, но именно эта простота влечет за собой несколько не слишком опасных, но все же неприятных проблем безопасности, о решении которых мы и поговорим.

Для определенности будем считать, что базовый адрес для доступа к страницам ilohamail – http://www.myserver.ru/ilohamail, а веб-сервер работает от имени пользователя www.

Настраиваем доступ к пользовательским данным

Хотя работа с почтовым ящиком ведется непосредственно с помощью одного из протоколов, Ilohamail все же сохраняет несколько последних сообщений, считанных в предыдущем сеансе работы в каталоге data/cache/<адрес_пользователя>. Поскольку каталог data по умолчанию хранится в дереве каталогов веб-сервера, то простое обращение по адресу http://www.myserver.ru/ilohamail/data/cache/serg.myserver.ru выведет список файлов кэша, где хранятся сообщения пользователя serg@myserver.ru. Конечно, если настройки веб-сервера запрещают просмотр содержимого каталога при отсутствии в нем индексного файла, то задача для злоумышленника усложняется, т.к. имя кэш-файла представляет собой случайный идентификатор, угадать который не так уж и легко. Например, он может называться так: 007c01c60c52%24fed21430%2430003d0a%40RGSUFO.local.