Domů›Příručky›Zabezpečení e-mailů
Zabezpečení e-mailů · Pochopit
Filtr zabudovaný v e-mailovém systému chrání právě tento systém. Bezpečnostní brána se umístí před něj: záznam MX domény na ni odkazuje, ona přijímá poštu, analyzuje ji a pak ji doručí na server se schránkami, ať je jakýkoli. Skutečný rozdíl spočívá v okamžiku analýzy: před tím, než zpráva vstoupí do schránky, nebo potom.
Každý firemní e-mailový systém už poštu filtruje. Microsoft 365, Google Workspace, server Exchange i hostovaný server mají vestavěný antispam a antivirus. Tento filtr je navržen pro platformu, která ho nese: jeho pravidla, reporty a protokoly žijí v této platformě a odcházejí s ní v den, kdy změníte poskytovatele.
SMTP brána. Poštovní server umístěný před schránkou. RFC 5321, která popisuje přenos pošty na internetu, označuje jako „přenosového agenta“ (MTA) server, který zprávu přijme a předá dál. Záznam MX domény určuje bránu: právě ji tedy odesílající servery kontaktují jako první.
Po analýze brána předá zprávu serveru se schránkami. Uživatelé ji nevidí. Ponechají si svůj program, webmail i telefon.
Praktický důsledek: brána nezávisí na schránce. Lze změnit poštovní server bez změny filtru, nebo posílit filtr bez změny serveru. Jde o dva samostatné nákupy, o kterých se rozhoduje zvlášť.
Filtr může zasáhnout ve dvou okamžicích a volba není neutrální.
Oba přístupy se často kombinují: analýza před doručením a poté ochrana, která pokračuje v okamžiku kliknutí, protože web, který byl při doručení čistý, se může stát škodlivým později. Žádný z nich netvrdí, že zastaví všechno.
Klytic umísťuje analýzu před schránku z jednoduchého důvodu: co není doručeno, není třeba dodatečně odstraňovat. To neodstraňuje potřebu lidského reflexu, když věrohodná zpráva projde všemi kontrolami, jako u podvodu typu CEO fraud.
Co to stojí: dalšího prostředníka na cestě. Je třeba ho ohlásit serveru se schránkami, jinak server vidí veškerou poštu přicházet z jediné adresy a skutečného odesílatele posuzuje chybně. Je také třeba zkontrolovat SPF, DKIM a DMARC. Tato nastavení popisuje stránka Ochrana e-mailového systému, který už máte.
Podle ANSSI je e-mail „hlavním vektorem infekce pracovních stanic“ (překlad) a e-mailové systémy jsou „jedním z hlavních vektorů útoků, protože jsou velmi široce používány a vystaveny internetu“ (překlad). Phishing, nebezpečná příloha, falešný platební příkaz: k tomu, aby se firma stala cílem, stačí e-mailová adresa, a mikropodnik je ohrožen stejně jako velká skupina.
ANSSI řadí ochranu e-mailu mezi svých deset zlatých pravidel digitální bezpečnosti a její katalog opatření doporučuje nasadit antispamové a anti-phishingové řešení. Její příručka o propojení informačního systému s internetem připomíná, že pracovní používání e-mailu je velmi rozšířené „bez ohledu na velikost a obor činnosti subjektu“ (překlad) a že antispamové mechanismy a mechanismy vyhledávání škodlivého obsahu „musí být zavedeny“.
Bezpečnostní filtrování pošty tedy už není volitelné. Skutečnou otázkou je, kde je umístěno a co dokáže zastavit dřív, než zpráva dorazí do schránky.
Brána doplňuje filtr e-mailového systému o analýzu, která nezávisí na dodavateli vašich schránek, o jednotnou politiku pro několik serverů nebo několik společností a o rozhodnutí, která lze vysvětlit.
Žádný filtr, vestavěný ani předsazený, nenahradí návyky, které připomíná ANSSI: neklikat na podezřelý odkaz nebo přílohu, neodpovídat na podezřelý e-mail, ověřovat jiným kanálem, zapnout dvoufaktorové ověření.
Aby mohla rozhodnout, brána čte celou zprávu: uvedeného odesílatele a server, který ji odesílá, výsledky ověření (SPF, DKIM, DMARC), text, odkazy, přílohy. Z toho vyvodí rozhodnutí: doručit, přesunout do karantény, odmítnout, nebo odložit neznámého odesílatele.
Číst neznamená uchovávat. Správná otázka pro poskytovatele zní: co zůstává a jak dlouho? U Klytic MTA odpověď rozlišuje tři případy a k tomu záznam o rozhodnutí.
| Situace | Co se uchovává | Doba |
|---|---|---|
| Běžné doručení | Osobní údaje z analýzy (odesílatel, příjemci, předmět, tělo zprávy, názvy příloh) jsou vymazány. Zůstává časové razítko, doména odesílatele, skóre a rozhodnutí. | Výmaz ve výchozím nastavení po 2 dnech, lhůtu lze upravit |
| Nebezpečná zpráva v karanténě | Celá zpráva, zašifrovaná | Po dobu platnosti odkazu pro uvolnění, 7 dní |
| Server se schránkami je nedostupný | Zpráva, zašifrovaná (AES-256-GCM), ve frontě | Do doručení nebo do vypršení lhůty |
| Všechna rozhodnutí | Skóre a důvod, bez obsahu | Technická data uchovávaná pro statistiky |
„Při běžném provozu se zprávy neukládají“ tedy znamená: žádná trvalá kopie doručené pošty. Neznamená to „nulová data“. Brána uchovává záznam o svých rozhodnutích a po několik dní podrobnosti analýzy. Jednotlivé lhůty podrobně popisuje průvodce Uchovávání a kontrola bezpečnostních protokolů e-mailu.
Tato cesta se opírá o běžné chování SMTP: server, který obdrží dočasnou chybu, si zprávu ponechá a zkusí to znovu. Průvodce migrace e-mailu bez přerušení vysvětluje, proč tento mechanismus brání ztrátě pošty při změně MX.
Ano. E-mailové útoky si své cíle nevybírají podle velikosti. Brána je způsob, jak toto filtrování zavést bez změny e-mailového systému: viz Ochrana e-mailového systému, který už máte.
Ne. Vestavěný filtr za ní dál pracuje. Dodavatelé popisují, jak bránu ohlásit, aby jejich vlastní analýza zůstala správná: viz Ochrana e-mailového systému, který už máte.
Analýza přidává jeden krok. Viditelný případ je záměrný: neznámý odesílatel může být krátce pozdržen, což odfiltruje automatické zásilky, které odeslání nikdy neopakují.
Ano. Záznam MX nadále ukazuje na bránu; mění se jen server, na který se doručuje. Průběh přechodu popisuje průvodce migrace e-mailu bez přerušení.
Je v karanténě, není smazaná. Viz Karanténa, falešné poplachy a hlášení.
To je otázka schránky, nikoli filtru. Věnuje se jí průvodce e-mail v cloudu, dedikovaný, nebo ve vašich prostorách.
Klytic MTA je brána tohoto typu. Lze ji objednat samostatně, bez Klytic Mail, a doručuje do Klytic Mail, Microsoft 365, Google Workspace, Exchange nebo jakéhokoli jiného poštovního serveru.
Službu lze nasadit v cloudu Klytic, na dedikované instanci nebo na vašich serverech. Cloud Klytic je hostován v jakékoli geografické oblasti odpovídající platné jurisdikci, s výhradou dostupnosti služeb, zejména v Evropě nebo na Mauriciu. Spuštění obvykle trvá 24 až 48 hodin: Klytic připraví konfiguraci a vy poté upravíte záznam MX své domény, nebo to Klytic udělá za vás.
Co Klytic MTA nedělá: nenahrazuje váš e-mailový systém, jeho účty ani oprávnění a vidí jen poštu, která jím prochází. Pro Microsoft 365 a další e-mailové systémy viz Ochrana e-mailového systému, který už máte.
Tato stránka popisuje obecnou architekturu. Přesné nastavení závisí na vašem e-mailovém systému a vašich doménách.
Ověřeno v říjnu 2026.
Zkušební verze zdarma na 30 dní, bez změny e-mailového systému.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
