Roadmapa
Cztery fazy, od działającej poczty z AI po wdrożenia Enterprise. Pokazujemy, co jest gotowe, co budujemy teraz i po czym poznamy, że coś jest skończone.
To szacunki dla zespołu 2–3 osób, a nie obietnice. Przeglądamy je co kwartał, a zakres może się zmienić. Najpierw dostarczamy to, co blokuje resztę: płatności i dostarczalność.
Stan na 19 października 2026 (v1.2): pierwsze wersje części punktów z Faz 1 i 2 są już dostępne.
Faza 0 · stan: 2026-10
Działająca poczta w przeglądarce z AI, trackingiem i szyfrowaniem. To jest wersja, z której korzystasz dziś.
100% zakresu dostarczone
ZrobioneRejestracja adresu name@mbox.ulewicz.space, sesje, uwierzytelnianie dwuskładnikowe TOTP z kodami odzyskiwania, zmiana hasła i lista sesji.
Wątki, foldery, kategorie, operatory wyszukiwania, etykiety, gwiazdki, drzemka, akcje zbiorcze, załączniki do 25 MB, wypisanie jednym kliknięciem i odświeżanie na żywo.
Szkice, cofnięcie wysyłki, wyślij później, podpis DKIM i własny serwer pocztowy. Poczta przychodząca jest sprawdzana pod kątem SPF, DKIM, DMARC, spamu i phishingu.
Piksel i przepisywane linki, zdarzenia z klientem i urządzeniem, flaga otwarć przez proxy, feed na żywo i statystyki.
„Przypomnij, jeśli brak odpowiedzi”, automatyczne follow-upy i własne przypomnienia.
Podsumowania, poranny brief, szkice, przepisywanie, inteligentne odpowiedzi, Copilot, wyszukiwanie w języku naturalnym, tematy maili, sugestie zobowiązań i terminów oraz opcjonalne automatyczne porządkowanie.
OpenPGP w przeglądarce z kluczem prywatnym zaszyfrowanym Twoją frazą, WKD, wiadomości z hasłem (AES-256-GCM, PBKDF2) i zero-access.
Szablony ze zmiennymi, sekwencje, linki do spotkań z rezerwacjami i zaproszeniem ICS, udostępnianie rozmów linkiem.
Plany Free, Pro i Business z limitami, własne domeny z rekordami DNS i weryfikacją, aliasy.
Zmiana planu działa bez prawdziwej płatności. To pierwszy punkt Fazy 1.
Faza 1 · Q4 2026 – Q2 2027
Pierwsze płatne konta, domeny, klienci pocztowi i aplikacje. Cel: dostarczalność do Gmaila i Outlooka na poziomie co najmniej 98%.
0 z 7 w pełni gotowych · 5 z pierwszą wersją w v1.2
W tokuStripe Billing z kartą, Apple Pay i Google Pay, SEPA oraz BLIK i Przelewy24. VAT UE (OSS), faktury PDF i obsługa nieudanych płatności.
Już w v1.2Płatności kartą, BLIK-iem i Przelewy24 (PLN) oraz SEPA (EUR), nowe plany Domena (9 zł) i Zespół (29 zł za użytkownika) oraz faktury VAT. Reszta zakresu, jak Apple Pay i Google Pay, jest w planach.
Gotowe, gdyZakup Pro na produkcji zmienia plan w mniej niż 30 s, a zmiany planu przechodzą wyłącznie przez podpisane webhooki.
Limity wysyłki zależne od planu, Rspamd i ClamAV dla poczty przychodzącej, obsługa odbić i skarg, rozgrzewanie adresów IP oraz weryfikacja nowych kont.
Gotowe, gdyWynik mail-tester co najmniej 9/10, skargi poniżej 0,1%, twarde odbicia poniżej 2%.
Kreator wykrywa dostawcę DNS i konfiguruje MX, SPF, DKIM, DMARC oraz MTA-STS przez Cloudflare API albo Domain Connect. Gdy się nie da, dostajesz rekordy do wklejenia.
Już w v1.2Kreator DNS prowadzi przez rekordy krok po kroku, a dla domen w Cloudflare konfiguracja jest jednym kliknięciem. Domain Connect jest w planach.
Gotowe, gdyDomena w Cloudflare gotowa w mniej niż 2 minuty, a SPF, DKIM i DMARC przechodzą w Gmailu.
Thunderbird, Outlook, Apple Mail i K-9 działają z mbox: IMAP z IDLE, SMTP submission, hasła aplikacji i autokonfiguracja. Wiadomości zero-access zostają poza IMAP, bo serwer nie ma klucza.
Już w v1.2Podłączanie zewnętrznych skrzynek przez IMAP z synchronizacją w obie strony oraz hasła aplikacji i wysyłka przez SMTP dla klientów desktopowych. Zostaje własny serwer IMAP do odbioru poczty w Thunderbirdzie, Outlooku i Apple Mail.
Gotowe, gdyAutokonfiguracja i powiadomienie w mniej niż 5 s w czterech klientach, test zgodności imaptest co najmniej 95%.
Windows, macOS i Linux na Tauri 2: powiadomienia, zasobnik systemowy, obsługa mailto:, praca offline, podpisane aktualizacje i klucze w systemowym keychainie.
Gotowe, gdyInstalator poniżej 25 MB, start poniżej 2 s, 99% sesji bez awarii w becie.
iOS i Android na Capacitorze. Powiadomienia push bez treści wiadomości, biometria i widżet z Briefem. Subskrypcję kupujesz w przeglądarce.
Już w v1.2Aplikacja instalowana (PWA) i powiadomienia push w przeglądarce. Zostają aplikacje natywne na iOS i Androida.
Gotowe, gdyPush w mniej niż 10 s, zero treści w payloadzie, co najmniej 99,5% sesji bez crasha.
Role owner, admin i member, konsola administratora, zaproszenia, szablony zespołu, import skrzynek z Gmaila i Outlooka przez IMAP oraz podstawowy log audytu.
Już w v1.2Workspace zespołu ze wspólnymi skrzynkami, przypisywaniem wątków i komentarzami wewnętrznymi (Business), import z Gmaila i Outlooka przez IMAP z pełnym eksportem oraz log audytu w centrum bezpieczeństwa. Pozostałe elementy zakresu są w planach.
Gotowe, gdyAdministrator konfiguruje workspace z 10 osobami i domeną w 30 minut, a import 5 GB nie gubi wiadomości.
Faza 2 · Q3 2027 – Q1 2028
Skrzynki współdzielone, integracje z CRM i kalendarzem oraz agent AI, który wykonuje zadania za Ciebie, ale tylko za Twoją zgodą.
0 z 9 w pełni gotowych · 5 z pierwszą wersją w v1.2
Planowanesupport@ i biuro@ obsługiwane razem: przypisania wątków, statusy, notatki wewnętrzne, sygnał „Anna pisze odpowiedź” i reguły przypisania.
Już w v1.2Podstawy: wspólne skrzynki z przypisywaniem wątków i wewnętrznymi komentarzami (Business). Reguły przypisania i SLA są w planach.
Gotowe, gdyPięć osób na jednej skrzynce bez podwójnych odpowiedzi, a zmiany widać w mniej niż 2 s.
Czas pierwszej odpowiedzi, wolumen, skuteczność szablonów i sekwencji per osoba oraz mapa cieplna godzin.
Gotowe, gdyMetryki zgodne z surowymi danymi (±1%), eksport do CSV.
HubSpot, Pipedrive i Salesforce: dwukierunkowa synchronizacja kontaktów, automatyczne logowanie wątków, karta CRM obok rozmowy oraz tworzenie deali i zadań z maila.
Gotowe, gdy100 wątków zalogowanych bez duplikatów kontaktów, opóźnienie synchronizacji poniżej 5 minut.
CalDAV, Google i Microsoft: wolne i zajęte terminy w linkach do spotkań, zaproszenia ICS z odpowiedzią w wątku oraz własny kalendarz mbox.
Już w v1.2Wbudowany kalendarz z zaproszeniami i odpowiedziami (RSVP). Synchronizacja z Google, Microsoft i CalDAV jest w planach.
Gotowe, gdyRezerwacja nigdy nie koliduje z zajętym terminem (test 100 prób).
Claude szuka, czyta, pisze, planuje, ustawia przypomnienia i rezerwuje spotkania. Zawsze według schematu plan, podgląd, zatwierdzenie, wykonanie, z pełnym logiem i opcją cofnięcia.
Gotowe, gdyCo najmniej 90% poprawnych wyników w 20 scenariuszach testowych i żadnej wysyłki maila bez zatwierdzenia.
Dyktowanie szkiców, komendy głosowe i odsłuch w aplikacjach. Przetwarzanie w UE, z opcją na urządzeniu.
Już w v1.2Dyktowanie głosowe szkiców w AI+. Komendy głosowe i odsłuch są w planach.
Gotowe, gdyBłąd rozpoznawania mowy do 8% dla polskiego i niemieckiego, opóźnienie dyktowania poniżej 1,5 s.
Oś czasu relacji, notatki, tagi, wykrywanie firm z domen i scalanie duplikatów.
Już w v1.2Ludzie i mini-CRM: karty kontaktów z historią i funkcją „utrzymuj kontakt”. Tagi, wykrywanie firm i scalanie duplikatów są w planach.
Gotowe, gdyScalanie bez utraty historii, wyszukiwanie kontaktu poniżej 200 ms przy 50 tys. kontaktów.
Import CSV, testy A/B kroków, AI rozpoznaje typ odpowiedzi (nieobecność, zainteresowanie, odmowa), zmienne warunkowe i rozgrzewanie.
Gotowe, gdyKlasyfikacja odpowiedzi co najmniej 92% F1 dla PL i DE, zero wysyłek poza oknem czasowym odbiorcy.
Tokeny API, webhooki, Zapier i Make oraz publiczny OpenAPI.
Już w v1.2Tokeny API, webhooki i serwer MCP dla agentów AI. Zapier, Make i publiczny OpenAPI są w planach.
Gotowe, gdyDokumentacja z limitami i trzy integracje referencyjne.
Faza 3 · Q2 2028 – Q1 2029
Funkcje dla organizacji z wymaganiami prawnymi i bezpieczeństwa: SSO, DLP, rezydencja danych, on-prem i kryptografia nowej generacji.
0 z 10 punktów gotowych
PlanowaneEntra ID, Okta, Google Workspace i Keycloak, provisioning JIT oraz wymuszenie SSO per domena.
Gotowe, gdyLogowanie przez Entra ID i Okta działa end-to-end, a wymuszone SSO blokuje hasło (poza kontem awaryjnym).
Automatyczne tworzenie i wyłączanie użytkowników oraz grup z Twojego dostawcy tożsamości.
Gotowe, gdyZmiana w IdP widoczna w mniej niż 60 s, a wyłączenie użytkownika kończy jego sesje w mniej niż minutę.
Reguły treści (PESEL, NIP, IBAN, numery kart, słowa kluczowe, klasyfikatory AI) i akcje: ostrzeż, zablokuj, wymuś szyfrowanie, kwarantanna lub akceptacja przełożonego.
Gotowe, gdyWykrywanie PESEL, IBAN i kart z czułością co najmniej 99% i mniej niż 2% fałszywych alarmów.
Wyszukiwanie przekrojowe po skrzynkach z uprawnieniem i logiem, eksport (MBOX, PST, EML) z manifestem haszy oraz blokada usuwania na czas postępowania.
Gotowe, gdyLegal hold uniemożliwia trwałe usunięcie, a eksport da się zweryfikować skrótami SHA-256.
Wybór regionu dla workspace (DE, PL, FR, CH…): osobne klastry z lokalnym przechowywaniem treści, indeksów, kopii zapasowych i inferencji AI.
Gotowe, gdyDowód lokalizacji w raporcie i audycie zewnętrznym, brak ruchu treści między regionami.
Instalacja u klienta (Helm lub Docker Compose), tryb air-gapped z lokalnym modelem lub własnym dostawcą modelu oraz licencja.
Gotowe, gdyInstalacja w jeden dzień według instrukcji, aktualizacje bez przestoju.
KMS z modułem HSM, BYOK i HYOK dla kluczy workspace, rotacja bez przestoju i ceremonia kluczy.
Gotowe, gdyKlucz główny nigdy nie opuszcza HSM, a unieważnienie klucza tenanta czyni dane niedostępnymi (test).
Hybrydowy KEM X25519 + ML-KEM-768 dla wiadomości i kluczy, opcjonalne podpisy ML-DSA oraz MLS (RFC 9420) dla grupowych skrzynek z E2E. Zgodność wsteczna z OpenPGP.
Gotowe, gdyWektory testowe NIST przechodzą, a szyfrowanie 1 MB trwa poniżej 100 ms.
Niezmienny log audytu (WORM) z eksportem do SIEM, ISO 27001, SOC 2 Type II, coroczny pentest zewnętrzny i bug bounty.
Gotowe, gdyCertyfikat ISO 27001 i brak krytycznych ustaleń pentestu otwartych dłużej niż 30 dni.
SLA, priorytetowe wsparcie z opiekunem technicznym, umowa powierzenia (DPA/AVV) i publiczna strona statusu.
Gotowe, gdyRaport dostępności zgodny z SLA przez 6 miesięcy.
Jak planujemy
Liczy się to, że funkcja trafia do użytkowników, a nie to, że kod jest napisany.
Każdy punkt ma warunek ukończenia, który da się sprawdzić testem, a nie opinią.
Planujemy dla zespołu 2–3 osób i przeglądamy plan co kwartał. Gdy trzeba ciąć, tniemy Fazę 2, zanim ucierpi Faza 1.
Dostarczalność, skalowanie i zgodność prawna nie czekają na koniec. Bez nich reszta nie ma sensu.
Pod maską
Poczta musi dochodzić do skrzynek, rosnąć bez awarii i mieścić się w prawie. Te trzy tory biegną razem z funkcjami.
Rośniemy etapami, od jednego serwera, przez PostgreSQL, magazyn obiektów i kolejki, po rozdzielone węzły poczty i wiele regionów. Do kolejnego etapu przechodzimy po sygnale z metryk, a nie po kalendarzu.
Rozgrzewanie adresów IP, SPF, DKIM i DMARC, MTA-STS, TLS-RPT, DANE i BIMI, filtrowanie Rspamd i ClamAV oraz zapasowy relay. Twoje maile mają trafiać do skrzynki, a nie do spamu.
RODO i umowy powierzenia, ePrivacy dla pikseli śledzących oraz AI Act: przejrzystość treści generowanych przez AI i brak trenowania na Twojej poczcie.
Ta roadmapa żyje. Napisz, co chcesz zobaczyć w pierwszej kolejności, a my wrócimy z odpowiedzią.
Dwie minuty, żadnej karty płatniczej. Dostajesz adres @mbox.ulewicz.space, 15 GB i AI, które zaczyna pomagać od pierwszego maila.
Darmowy adres @mbox.ulewicz.space · bez reklam · bez karty
