Che cosa ottiene
| Funzione | Essential | Advanced |
|---|
| Firma DKIM delle e-mail in uscita, anche se il suo servizio di posta non lo fa | Incluso | Incluso |
| Richiamo prima dell’invio di un messaggio | Incluso | Incluso |
| Firma S/MIME da parte del gateway, con la sua chiave, se la attiva | Incluso | Incluso |
| Fornitura del certificato S/MIME | Opzione | Opzione |
Queste funzioni si applicano alla posta che transita per Klytic MTA. Il suo servizio di posta, che si tratti di Microsoft 365, Google Workspace, Exchange, Klytic Mail o un altro server, deve quindi consegnare i messaggi in uscita al gateway, che poi li trasmette ai destinatari. Klytic prepara con lei questo percorso al momento dell’attivazione. I prezzi sono nella pagina Prezzi.
Chi fa che cosa
- L’amministratore del suo servizio di posta fa passare la posta in uscita per Klytic MTA, secondo le indicazioni di Klytic.
- La persona che gestisce il DNS del suo dominio pubblica la chiave pubblica DKIM e aggiorna il record SPF.
- L’amministratore del dominio in Klytic MTA decide la policy di invio: firma e ritardo prima dell’invio.
- Klytic prepara la configurazione e le fornisce i valori da pubblicare.
- L’utente invia come di consueto e può recuperare un messaggio durante il ritardo prima dell’invio.
Firmare la posta con DKIM
La firma DKIM permette al server del destinatario di verificare che il messaggio provenga davvero dal suo dominio e che non sia stato modificato lungo il percorso. Migliora la recapitabilità e rende più difficile l’usurpazione del suo dominio. Klytic MTA può aggiungerla anche se il suo attuale servizio di posta non firma, il che è utile quando mantiene Microsoft 365, Google Workspace o un altro server.
- Klytic prepara la firma per il suo dominio e le comunica il record DNS da pubblicare, che contiene la chiave pubblica.
- Chi gestisce il suo DNS pubblica questo record. Aggiorna anche il record SPF, che d’ora in poi deve includere il gateway come server di invio.
- Una volta attivo il percorso in uscita, invii un messaggio di prova a un indirizzo esterno e ne visualizzi le intestazioni: deve comparire una riga DKIM-Signature che menziona il suo dominio.
Ogni dominio protetto riceve la propria firma. Un messaggio può recare più firme DKIM: se il suo servizio di posta firma già, la firma che conta per DMARC è quella che corrisponde al dominio visibile del mittente.
Il ritardo prima dell’invio
Un messaggio partito troppo in fretta, verso il destinatario sbagliato o con l’allegato sbagliato, non si può più recuperare una volta consegnato. Klytic MTA può trattenere i messaggi in uscita per un breve intervallo prima di trasmetterli. Durante questa finestra il messaggio può essere recuperato; dopo, parte normalmente.
Il ritardo si regola nella policy di invio del dominio. Il modo per recuperare un messaggio durante la finestra viene indicato ai suoi utenti al momento dell’attivazione.
Questo ritardo è una funzione del gateway, non del suo programma di posta. Non va confuso con la funzione di richiamo di alcuni programmi, che chiede a posteriori al destinatario di eliminare un messaggio già ricevuto: qui il messaggio non ha ancora lasciato il suo dominio.
Esempio. Un’addetta alle paghe invia il file degli stipendi a «Julien», e il completamento automatico sceglie il Julien di un cliente invece del collega del reparto. Se ne accorge subito. Il messaggio è ancora trattenuto dal gateway: lo recupera prima che parta.
Un messaggio trattenuto per questo ritardo non è in quarantena. La quarantena riguarda la posta in arrivo pericolosa: veda Quarantena, falsi positivi e segnalazioni.
Firma S/MIME quando il suo servizio di posta non la offre
S/MIME si basa su un certificato associato a un indirizzo e-mail. La firma S/MIME permette al destinatario di verificare chi ha inviato il messaggio e che non sia stato modificato lungo il percorso.
Molti servizi di posta sanno firmare con S/MIME dalla postazione dell’utente. Se il suo non lo consente, Klytic MTA può farlo al suo posto: il gateway firma il messaggio in uscita con la chiave del mittente, prima di trasmetterlo al destinatario.
Una decisione del cliente
- Lei sceglie di attivarla. La firma S/MIME da parte del gateway non viene mai attivata d’ufficio.
- Lei affida la sua chiave a Klytic MTA. Per firmare al suo posto, il gateway deve detenere la chiave privata corrispondente al certificato. La scelta è sua: equivale ad accettare che il gestore del gateway utilizzi questa chiave per firmare i suoi invii.
- Il certificato può essere il suo, oppure fornito da Klytic: la fornitura del certificato è un’opzione, in entrambe le offerte.
Se preferisce che la chiave privata non lasci mai le sue postazioni, firmi da un servizio di posta che supporta S/MIME e lasci questa opzione disattivata. La guida Che cos’è il cloud sovrano? spiega perché il possesso della chiave è importante.
| Meccanismo | Che cosa protegge |
|---|
| Cifratura del trasporto (TLS) | Il percorso tra due server. Verso un altro dominio, dipende anche dal server che riceve. |
| Firma DKIM | L’autenticità del dominio che invia, verificata dai server destinatari. |
| Firma S/MIME | L’identità del mittente e l’integrità del messaggio, verificate dal destinatario. |
Limiti
- Il gateway firma e trattiene solo la posta che transita per esso. I messaggi inviati direttamente da altri servizi a nome del suo dominio, come uno strumento per newsletter o un software di fatturazione, si configurano a parte.
- Una volta trascorso il ritardo, un messaggio inviato non può più essere richiamato dal gateway.
- La firma S/MIME da parte del gateway esiste solo se lei l’ha attivata e ha affidato la sua chiave a Klytic MTA.
Nulla di tutto ciò richiede Klytic Mail. Per il caso in cui mantiene il suo attuale servizio di posta, veda Proteggere la posta elettronica che già utilizza.
Domande frequenti
Serve Klytic Mail per firmare con DKIM tramite Klytic MTA?
No. La firma viene aggiunta dal gateway, davanti a qualsiasi servizio di posta. Veda Proteggere la posta elettronica che già utilizza.
Che cosa verificano SPF e DMARC sui miei invii?
Veda SPF, DKIM e DMARC. La console DMARC dell’offerta Advanced segue i report dei suoi domini: veda Leggere ed esportare una decisione del filtro.
Chi decide il ritardo prima dell’invio?
L’amministratore del dominio, nella policy di invio. La ripartizione dei ruoli è descritta in Chi regola il filtro in Klytic MTA.
Klytic MTA firma i miei messaggi con S/MIME senza il mio consenso?
No. È un’opzione che lei attiva, affidando la sua chiave al gateway. Senza di ciò, Klytic MTA non firma con S/MIME.
Posso usare il mio certificato S/MIME?
Sì, la fornitura del certificato da parte di Klytic è solo un’opzione. Prepari l’attivazione con Klytic tramite la pagina Contatti.
