Schleuder 5.0.0 介绍与选型指南

目标：讲清 Schleuder——一个 OpenPGP 加密邮件列表管理器——的定位、架构、功能边界与选型依据，帮助读者判断「什么时候该用它而不是普通邮件列表软件」。本文为认知溯源篇，全部事实来自官方站点、官方仓库与官方发行渠道（溯源清单与查询日期见第一章），不含本地实测内容；安装与命令实测见本专栏部署篇。

一、环境信息

本篇是纯溯源文档，没有动手实验，因此「环境」即信息来源本身。所有关键事实均在 2026-10-26 当日逐一从下列官方渠道核对：

💡 说明：Schleuder 的官方源码托管在 0xacab.org（Riseup 集体运营的自托管 GitLab 实例），而不是 GitHub。网上流传的「github.com/schleuder/schleuder」线索已过时——本文写作时该路径并非项目主仓，一切以 0xacab.org 与 schleuder.org 为准。这是考证该项目时最容易踩的第一个坑。

二、软件概述

2.1 一句话定位

Schleuder 是一个带转发（remailing）能力的 OpenPGP 加密邮件列表管理器：订阅者之间通过列表互发加密邮件，列表本身是一个持密解密、再逐人重新加密的「邮件网关」；同时它还能接收非订阅者来信、并把邮件转发给非订阅者，因此官方把它定位为「群体邮件枢纽（a group's email-gateway）」。

理解 Schleuder 只需要抓住三个角色、一个核心动作：

• 订阅者：把自己的 OpenPGP 公钥登记到列表，之后收到的每一封列表邮件都是用自己公钥加密过的；发往列表的邮件也用列表公钥加密并用自己的私钥签名。
• 列表管理员：通过邮件关键词命令或管理工具维护订阅者、密钥与列表选项。
• 服务器管理员：在服务器上安装 schleuder 主程序、把它挂到 MTA（邮件传输代理）上，并运行 API 守护进程供管理工具连接。
• 核心动作：列表收到密文 → 用列表私钥解密、用密钥环验签 → 逐个订阅者重新加密并附列表签名 → 通过 MTA 发出。官方文档把这个模型形象地称为「一场被需要的中间人（a "wanted machine-in-the-middle"）」。

2.2 出身与使命

Schleuder 是一个带有鲜明社群立场的项目，官方使命声明（schleuder.org/MISSION_STATEMENT.html，2026-10-26 查询）原文写道：项目维护者贡献时间与知识，「帮助人们进行日常私人通讯，以及为个人解放、社会与经济正义、政治自由而斗争」。它长期服务于欧美激进社群（activist circles）——例如德国的匿名联系人信箱、社会运动组织的内部协调通讯，这类场景对「端到端加密 + 匿名对外接口」的要求远高于对「漂亮网页」的要求。

关键身份信息（0xacab.org/schleuder/schleuder 项目页，2026-10-26 查询）：

💡 技术拓展：OpenPGP 是「加密邮件」领域最常用的开放标准，但不是唯一选项。常见端到端邮件加密体系对比——

体系	典型形态	优势	局势
OpenPGP（GnuPG 实现）	密钥对 + Web of Trust 信任网，邮件正文/附件整体加签	无中心 CA、可离线验签、activist 生态成熟	密钥管理对普通人偏难
S/MIME	X.509 证书链，邮件客户端原生支持	企业 CA 体系接入顺畅	依赖中心化 CA，个人自建门槛高
邮件传输加密 TLS（STARTTLS）	服务器间链路加密	透明、普及	只加密「传输」，服务器与收发双方可见明文，不是端到端

Schleuder 选择 OpenPGP（经 GnuPG），并以「列表私钥解密→订阅者公钥重加密」的服务端中转模型工作——它保护的是邮件在传输路径与对外的可见性，而不是对列表服务器本身的保密（见 2.3 信任模型）。

2.3 与普通邮件列表的本质区别

普通邮件列表软件（Mailman、Sympa、mlmmj 等）的模型是「明文进、明文出」：列表把订阅者的邮件原样群发（顶多加个头、改个主题前缀），传输安全依赖 TLS。Schleuder 的模型是「密文进、密文出」：

这张表里的最后一行是 Schleuder 的灵魂：对外部世界而言，列表就是一个持有公钥的匿名信箱——外部人只看到一个邮箱地址和一串公钥，不知道、也无法从邮件里读出背后有谁。

三、核心架构

3.1 邮件处理流水线

Schleuder 在「work 模式」下运行时表现为一个邮件过滤器：从标准输入读邮件、向标准错误报错，处理完所有出站邮件后才向 MTA 关闭连接——因此任何环节出错，MTA 都能把错误信息放进退信（bounce）原路告知发件人。完整流水线（依据官方 concept 文档，schleuder.org/schleuder/docs/concept.html，2026-10-26 查询）：

订阅者 Alice                  列表服务器 (Schleuder)                 订阅者 Bob / 外部人
┌────────────┐   密文邮件   ┌──────────────────────────────┐   重加密邮件   ┌────────────┐
│ 用列表公钥加密 │ ─────────▶ │ MTA 管道交付 schleuder work    │ ───────────▶ │ 各自私钥解密  │
│ 用自己私钥签名 │            │ ① 列表私钥解密 + 密钥环验签      │  逐人加密+    │ 看到元数据块  │
└────────────┘            │ ② 剥离敏感头字段               │  列表签名     └────────────┘
                           │ ③ 正文顶部插入元数据块          │
外部人 Zacharias ─明文/加密─▶ │ ④ x- 关键词命令解析（订阅/转发…） │ ──x-resend──▶ 仅对外转发
                           │ ⑤ 逐订阅者重加密，经 MTA 发出    │
                           └──────────────────────────────┘

正文顶部的元数据块是官方文档给出的示例样式，形如：

From: Bob <bob@example.net>
To: team@schleuder.org
Date: Tue, 6 Apr 2010 17:28:46 +0200
Enc: encrypted
Sig: Good signature from 12345678DEADBEEF Bob <bob@example.net>

每个订阅者看到的邮件都带有这个块：原始发件人、是否加密、签名验证结果一目了然——这正是加密邮件列表最需要的「状态可见性」。

3.2 数据与密钥存储

依据官方 concept 文档「Internal workings」一节（2026-10-26 查询）：

• 每个列表一个 OpenPGP 密钥对，密钥环是标准 GnuPG 格式，落在文件系统 $lists_dir/$hostname/$listname/ 下（lists_dir 由主配置 schleuder.yml 定义），可以直接用 gpg 手工维护。
• 其余列表数据（订阅关系、列表选项、API 账号等）存 SQLite 数据库（默认 /var/lib/schleuder/db.sqlite），大多数字段为明文序列化，少数 JSON 编码。
• 每个列表目录内还有一个列表级日志文件；其余日志走 syslog。
• 正因为状态是「文件系统密钥环 + 单文件 SQLite」，Schleuder 是单机形态的软件：没有官方集群方案，备份 = 备份这两个东西。

3.3 一个列表地址背后的五个地址

每个 Schleuder 列表 foo@hostname 天然派生四个辅助地址，由同一进程按后缀区分处理：

这个设计让 Schleuder 的全部日常操作都发生在邮件协议内：订阅者不需要任何网页或额外客户端，一把 GnuPG 密钥 + 一个邮箱就是全部入口。

3.4 管理 API 与两种管理工具

邮件关键词覆盖日常操作，但「建列表、删列表、改服务器级配置」是服务器管理员的活，走 Schleuder API（官方 server-admins 文档，2026-10-26 查询）：

• schleuder-api-daemon 进程提供 REST API，全程 TLS（安装时 schleuder install 自动生成证书，schleuder cert fingerprint 可查指纹）；
• 客户端用 API key 认证（schleuder new_api_key 生成，写入主配置 valid_api_keys 列表）；官方明确提示：API 层没有细粒度授权，拿到 key 即拥有全部权限；
• 官方配套两个管理前端：schleuder-cli（命令行，rubygems.org 当前版本 0.2.0）与 schleuder-web（Web 管理界面，Ruby on Rails，默认登录账号 root@localhost）；
• 邮件处理不依赖 API 守护进程——schleuder-api-daemon 停了不影响收信，这正是「邮件接口驱动」与「管理面」解耦的体现。

💡 技术拓展：服务器与 MTA 的对接方式不止一种。Schleuder 官方文档给出的两个代表——

对接方式	原理	适用
Postfix 管道（pipe）	master.cf 定义传输服务，transport 表把列表地址指给该服务，Postfix fork schleuder work <地址> 并通过 stdin 交付邮件	官方主推路径，每列表五行 transport 条目
Postfix 虚拟域 + SQLite 查询	把整个列表域交给 schleuder 传输，Postfix 直接查 schleuder 的 SQLite 库判断地址有效性	列表数量多时免维护 transport 表
Exim 路由器 + 管道传输	router 查 SQLite（或文本文件）确认地址，transport 以管道执行 schleuder	Debian 系默认 MTA 为 Exim 的环境

三种方式本质相同：MTA 识别「哪个地址属于哪个列表」→ 管道交付给 schleuder work。本文档集以官方文档详述的 Postfix 管道方案为主线。

四、功能特性

以下特性均依据官方文档（concept / subscribers / list-admins / server-admins，2026-10-26 查询）整理：

1. 订阅者加密互发：邮件解密→剥离头→重加密群发；可见哪些头字段由列表管理员逐列表配置。
2. 对外转发（remailing）：订阅者在邮件里写 x-resend: 类关键词即可把内容转发给非订阅者；带 -encrypted-only 后缀的变体只在能加密时才发，杜绝明文泄漏。
3. 邮件内嵌命令（x- 关键词）：订阅者可 x-list-subscriptions、x-set-fingerprint、x-add-key、x-list-keys、x-get-logfile、x-get-version、x-sign-this 等；管理员可 x-subscribe:、x-unsubscribe:、x-delete-key:、x-fetch-key: 等。全部要求加密 + 签名 + 纯文本，且必须携带 x-list-name: 防重放。
4. sendkey 机器人：foo-sendkey@ 自动回信列表公钥，外部人拿到公钥即可发起首次加密接触。
5. 密钥自动维护：schleuder check_keys（查过期/吊销）、schleuder refresh_keys（从密钥服务器刷新）、schleuder pin_keys（把订阅固定到最佳匹配密钥）；Debian 包自带每周 cron 自动跑前两个。
6. 入站密钥自动导入（5.0 新增，默认关闭）：收到陌生发件人来信时，可从邮件附件或 Autocrypt 头自动提取匹配公钥入库——针对「联系人流动频繁的联系人信箱」场景。
7. 密钥服务器策略调整（5.0 变更）：默认不再查传统 HKP 密钥服务器，改以 VKS（默认 keys.openpgp.org）为主，HKP 退居后备且需显式配置。
8. GitLab 工单联动：官方提供 schleuder-gitlab-ticketing 项目，可把列表作为加密 helpdesk 前端对接 GitLab issue（官方 concept 文档提及）。
9. 国际化与健壮性：官方包描述强调 robust、flexible、internationalized（packages.debian.org，2026-10-26 查询）。

五、快速开始（官方路径示意）

本章为官方文档路径的忠实转述（来源：schleuder.org/schleuder/docs/server-admins.html，2026-10-26 查询；命令输出以本专栏《Debian 12 安装 Schleuder 5.0.0 指南》实测为准），只呈现主线，便于建立整体认知：

1. 安装（两条官方路线）：Debian 12 直接 apt-get install schleuder schleuder-cli（包版本 4.0.3，包已代劳初始化）；或 RubyGems 安装最新稳定版 gem install schleuder 后执行 schleuder install 完成目录/证书/API key 初始化（要求 Ruby ≥ 3.1，5.0.0）。
2. 启动 API 守护进程：systemctl start schleuder-api-daemon（或手动运行 schleuder-api-daemon，需以列表目录属主用户身份）。
3. 建列表：用 schleuder-cli 或 schleuder-web 调 API 创建列表（列表名、主机名、管理员邮箱），创建时自动生成列表 OpenPGP 密钥对。
4. 挂接 MTA：在 Postfix 的 master.cf 增加 schleuder 管道传输（argv=/path/to/bin/schleuder work ${recipient}），main.cf 配 transport 映射或虚拟域，让列表的五个地址全部路由进 schleuder。
5. 开始通信：订阅者把公钥登记进列表密钥环，之后所有往来邮件端到端加密；外部人向 foo-sendkey@ 发信即可获取列表公钥。

⚠️ 提醒：以上第 1–4 步的每条命令在真实 Debian 12 服务器上的完整输入输出、systemd 单元与排障过程，见本专栏《Debian 12 安装 Schleuder 5.0.0 指南》；本篇不重复。

六、适用场景与限制

6.1 典型适用场景

• 小圈子端到端加密协调：数人到数十人的小组内部通讯，全员具备 GnuPG 基本功，要求「除了成员和列表服务器，任何人都读不到内容」。
• 匿名/ pseudonymous 对外联系信箱：组织对外公布一个加密信箱（如举报、爆料、求助信箱），外部人只知道地址与公钥，来信自动分发给内部处理者；配合 x-resend-encrypted-only 还能把内容安全转给外部专家。
• 高敏 helpdesk + 工单化：结合官方 schleuder-gitlab-ticketing，把加密来信转成 GitLab issue 分派处理。

6.2 限制与代价（选型前必须接受）

• 必须完全信任列表服务器：官方 concept 文档原话——服务器运营者「想存想解所有经过列表的邮件，技术上完全做得到」。这是服务端中转加解密模型的固有代价，Schleuder 官方毫不掩饰。
• 命令使用门槛高：邮件关键词必须加密、签名、纯文本、携带 x-list-name，HTML 邮件直接不工作；对普通用户不友好。
• 无公开 Web 归档：这是设计取舍——加密列表不该有明文网页归档；但对「需要可检索历史」的团队是硬伤（可对比 HyperKitty 的 Web 归档）。
• 单机、SQLite、无集群：官方没有多节点方案；可用性靠 MTA 队列与运维备份兜底。
• 发布节奏慢：4.0.3（2022-04）到 5.0.0（2024-11）间隔两年半，社区规模有限（rubygems 累计下载 39,693 次，2026-10-26 查询），遇到冷门问题主要靠自己读源码。
• 版本双轨：Debian 12 仓库停留在 4.0.3，最新 5.0.0 只能走 RubyGems——生产部署必须先做版本决策（见第七章兼容矩阵）。

七、同类选型对比

加密邮件列表是小众赛道，但选型对比仍应放在「邮件列表管理器」的完整光谱里看。下表把 Schleuder 与平台已有专文的三个代表放在一起（量化数据均为各项目官方渠道 2026-10-26 前后记录，HyperKitty/Postorius/mlmmj 数据取自本平台对应专文）：

表格解读：三者不是同位竞争——要加密与匿名接口，唯一成熟答案是 Schleuder；要公开讨论组 + 可检索 Web 归档，选 Mailman 3 套件（见 《Postorius 1.3.13 介绍与选型指南》 与 《HyperKitty 1.3.12 介绍与选型指南》）；要几百人的普通公告/讨论列表且不想养 Python 环境，mlmmj 最省心（见 《mlmmj 2.2.2 介绍与选型指南》）。判断口诀：「邮件内容本身要不要对服务器之外的世界保密」——要，Schleuder；不要，其余。

7.1 兼容矩阵（版本决策必读）

💡 技术拓展：软件发布渠道的「发行版包 vs 上游原装」权衡是通用命题——

渠道	优点	缺点
发行版 apt 包	依赖托管、systemd/cron/安全更新一体化	版本滞后（本例 4.0.3 vs 5.0.0）
语言生态原装包（gem）	版本最新、可锁版本	依赖自己扛（编译工具链、运行时升级）

Schleuder 的特殊性在于：官方文档明确推荐「生产用 Debian bookworm 包」，同时把最新功能只发布在 gems 线。若 5.0 的 VKS 策略/入站密钥导入对你无用，选 apt 4.0.3 更稳；需要新特性则走 gems 并自接 systemd 单元——本文档集两种路线都在《Debian 12 安装 Schleuder 5.0.0 指南》中实测。

八、参考链接

• 官方站点：https://schleuder.org/（含使命声明 MISSION_STATEMENT.html）
• 概念文档：https://schleuder.org/schleuder/docs/concept.html（2026-10-26 查询）
• 服务器管理员文档（安装/配置/MTA 对接/API）：https://schleuder.org/schleuder/docs/server-admins.html（2026-10-26 查询）
• 订阅者/列表管理员关键词文档：https://schleuder.org/schleuder/docs/subscribers.html、https://schleuder.org/schleuder/docs/list-admins.html（2026-10-26 查询）
• 4.0→5.0 变更说明：https://schleuder.org/schleuder/docs/changes.html（2026-10-26 查询）
• 官方源码仓库：https://0xacab.org/schleuder/schleuder（GPL-3.0；配套工具 schleuder-cli、schleuder-web 同实例）
• RubyGems 发行页：https://rubygems.org/gems/schleuder（5.0.0）、https://rubygems.org/gems/schleuder-cli（0.2.0）
• Debian 12 包信息：https://packages.debian.org/bookworm/schleuder（4.0.3-7+deb12u1）
• GitLab 工单联动项目：https://schleuder.org/schleuder-gitlab-ticketing/