Due posizioni possibili per il filtro
Ogni sistema di posta aziendale filtra già la posta. Microsoft 365, Google Workspace, un server Exchange o un server in hosting hanno un antispam e un antivirus integrati. Questo filtro è progettato per la piattaforma che lo ospita: le sue regole, i suoi report e i suoi log vivono in quella piattaforma, e se ne vanno con essa il giorno in cui si cambia fornitore.
Gateway SMTP. Un server di posta posto a monte della casella. La RFC 5321, che descrive il trasporto della posta su Internet, chiama «agente di trasferimento» (MTA) un server che riceve un messaggio e lo inoltra più avanti. Il record MX del dominio designa il gateway: è quindi lui che i server mittenti contattano per primo.
Dopo l’analisi, il gateway consegna il messaggio al server delle caselle. Gli utenti non lo vedono. Mantengono il loro programma, la loro webmail e il loro telefono.
Conseguenza pratica: il gateway non dipende dalla casella. Si può cambiare server di posta senza cambiare filtro, o rafforzare il filtro senza cambiare server. Sono due acquisti distinti, che si decidono separatamente.
Prima o dopo la consegna
Un filtro può agire in due momenti, e la scelta non è neutra.
- Prima della consegna. Il messaggio viene analizzato mentre transita. Se è giudicato pericoloso, non entra nella casella. Un allegato malevolo può essere rimosso e sostituito da un messaggio informativo. Un messaggio dubbio va in quarantena invece di essere consegnato.
- Dopo la consegna. Il messaggio è già nella casella quando l’analisi si conclude, o quando arriva un’informazione nuova, per esempio un link segnalato qualche ora dopo. Lo strumento deve allora andare a rimuoverlo. Nel frattempo, l’utente può averlo aperto, aver cliccato o aver inoltrato l’allegato.
I due approcci si combinano spesso: un’analisi a monte, poi una protezione che prosegue al momento del clic, perché un sito pulito al momento della ricezione può diventare malevolo in seguito. Nessuno dei due pretende di fermare tutto.
Klytic colloca l’analisi prima della casella per una ragione semplice: ciò che non viene consegnato non deve essere recuperato. Questo non esonera da un riflesso umano quando un messaggio credibile supera tutti i controlli, come nella frode del CEO.
Perché collocare un MTA di sicurezza davanti al server
- Uno strumento specializzato. Il gateway non gestisce né calendari né archiviazione. Le sue regole riguardano il mittente, il contenuto e gli allegati, e si configurano dominio per dominio.
- Una protezione che resta al suo posto. Sopravvive a un cambio di server delle caselle e può coprire più server contemporaneamente: una filiale, un sistema di posta storico, una nuova piattaforma.
- Una decisione leggibile nello stesso punto. Ogni messaggio riporta il motivo della decisione, qualunque sia il server che lo riceve dopo.
- Un secondo parere. Il filtro integrato del sistema di posta continua a funzionare dietro il gateway.
Che cosa comporta: un intermediario in più sul percorso. Bisogna dichiararlo al server delle caselle, altrimenti questo vede arrivare tutta la posta da un unico indirizzo e valuta male il mittente reale. Bisogna anche rivedere SPF, DKIM e DMARC. La pagina Proteggere la posta che già utilizza descrive queste impostazioni.
Riguarda tutti
Per l’ANSSI, l’agenzia nazionale francese per la sicurezza informatica, la posta elettronica è «il principale vettore di infezione della postazione di lavoro» (traduzione), e i sistemi di posta sono «uno dei principali vettori di attacco, poiché ampiamente utilizzati ed esposti su Internet» (traduzione). Phishing, allegato malevolo, falso ordine di bonifico: basta un indirizzo e-mail per essere presi di mira, e una microimpresa lo è quanto un grande gruppo.
L’ANSSI fa della protezione della posta una delle sue dieci regole d’oro della sicurezza digitale, e il suo repertorio di misure raccomanda di adottare una soluzione antispam e anti-phishing. La sua guida sull’interconnessione di un sistema informativo a Internet ricorda che l’uso professionale della posta è molto diffuso «qualunque siano le dimensioni e il settore di attività dell’entità» (traduzione), e che meccanismi antispam e di ricerca di contenuti malevoli «devono essere attuati».
Un filtraggio di sicurezza della posta non è quindi più un’opzione. La vera domanda è dove si colloca e che cosa sa fermare prima che il messaggio arrivi nella casella.
Il gateway aggiunge al filtro del sistema di posta un’analisi che non dipende dal fornitore delle sue caselle, una stessa politica per più server o più società, e decisioni che si possono spiegare.
Nessun filtro, integrato o posto davanti, sostituisce i riflessi ricordati dall’ANSSI: non cliccare su un link o un allegato dubbio, non rispondere a un’e-mail sospetta, verificare tramite un altro canale, attivare l’autenticazione a due fattori.
Che cosa vede il gateway e che cosa conserva
Per decidere, un gateway legge tutto il messaggio: il mittente dichiarato e il server che lo invia, i risultati di autenticazione (SPF, DKIM, DMARC), il testo, i link, gli allegati. Ne ricava una decisione: consegnare, mettere in quarantena, rifiutare o rinviare un mittente sconosciuto.
Leggere non significa conservare. La domanda giusta da porre a un fornitore è: che cosa resta, e per quanto tempo? Per Klytic MTA, la risposta distingue tre casi, più la traccia della decisione.
| Situazione | Che cosa viene conservato | Durata |
|---|
| Consegna normale | I dati personali di analisi (mittente, destinatari, oggetto, corpo, nomi degli allegati) vengono eliminati. Restano la marca temporale, il dominio mittente, i punteggi e la decisione. | Eliminazione dopo 2 giorni per impostazione predefinita, termine configurabile |
| Messaggio pericoloso in quarantena | Il messaggio completo, cifrato | Il periodo di validità del link di rilascio, 7 giorni |
| Server delle caselle irraggiungibile | Il messaggio, cifrato (AES-256-GCM), in coda | Fino alla consegna o alla scadenza del termine |
| Tutte le decisioni | Punteggio e motivo, senza il contenuto | Dati tecnici conservati per le statistiche |
«Nessuna archiviazione dei messaggi in condizioni di funzionamento normale» significa quindi: nessuna copia duratura della posta consegnata. Non significa «zero dati». Il gateway conserva la traccia delle sue decisioni e, per qualche giorno, il dettaglio dell’analisi. Le tempistiche sono descritte in Conservare e rileggere i log di sicurezza delle e-mail.
Il percorso, passo dopo passo
- Un server mittente cerca il record MX del suo dominio. Trova il gateway e gli consegna il messaggio.
- Il gateway verifica il mittente (autenticazione, reputazione), il messaggio (link, testo, scenario noto), poi gli allegati.
- Messaggio sicuro: lo consegna al suo sistema di posta, qualunque esso sia: Microsoft 365, Google Workspace, Exchange, Klytic Mail o un altro server.
- Messaggio pericoloso: va in quarantena cifrata. Il destinatario viene avvisato e può rilasciarlo tramite un link se si tratta di un errore.
- Messaggio rifiutato: il server mittente riceve un rifiuto e avvisa il suo utente.
- Il suo server delle caselle non risponde: il messaggio attende, cifrato, poi viene consegnato non appena il server torna disponibile.
Questo percorso si basa sul comportamento normale di SMTP: un server che riceve un errore temporaneo conserva il messaggio e riprova. La guida migrare la posta elettronica senza interruzioni spiega perché questo meccanismo evita di perdere posta durante un cambio di record MX.
Domande frequenti
Una piccola impresa ha bisogno di un filtraggio di sicurezza?
Sì. Gli attacchi via e-mail non scelgono il bersaglio in base alle sue dimensioni. Il gateway è un modo per attivare questo filtraggio senza cambiare sistema di posta: veda Proteggere la posta che già utilizza.
Un gateway sostituisce il filtro di Microsoft 365 o di Google Workspace?
No. Il filtro integrato continua a lavorare dietro di esso. I fornitori descrivono come dichiarare un gateway affinché la loro analisi resti corretta: veda Proteggere la posta che già utilizza.
Il gateway ritarda la posta?
L’analisi aggiunge un passaggio. Il caso visibile è voluto: un mittente sconosciuto può essere messo brevemente in attesa, il che scarta invii automatici che non riprovano mai.
Si può cambiare sistema di posta mantenendo il gateway?
Sì. Il record MX continua a designare il gateway; cambia solo il server di consegna. Lo svolgimento di un passaggio è descritto in migrare la posta elettronica senza interruzioni.
Che cosa succede a un messaggio messo da parte per errore?
È in quarantena, non eliminato. Veda Quarantena, falsi positivi e segnalazioni.
Che differenza c’è con un sistema di posta dedicato o installato in sede?
È la questione della casella, non del filtro. È trattata in posta elettronica nel cloud, dedicata o nei suoi locali.
Dove si colloca Klytic
Klytic MTA è un gateway di questo tipo. Si sottoscrive da solo, senza Klytic Mail, e consegna verso Klytic Mail, Microsoft 365, Google Workspace, Exchange o qualsiasi altro server di posta.
- Essential: autenticazione e reputazione (SPF, DKIM, DMARC anche per i messaggi inoltrati, età dei domini, blacklist), antispam, antivirus, anti-phishing, domini sosia e nome visualizzato, macro e PDF malevoli, quarantena cifrata e rilascio, firma DKIM degli invii, richiamo prima dell’invio, firma S/MIME degli invii per un sistema di posta che non la gestisce, se il cliente la attiva e affida la sua chiave (la fornitura del certificato è un’opzione), valutazione tramite IA dei messaggi ambigui, punteggio e motivo nelle intestazioni.
- Advanced: tutto Essential, più la frode del CEO e le frodi finanziarie, i link rianalizzati al momento del clic, i file HTML malevoli, la console DMARC e i log esportabili verso un SIEM.
Il servizio si installa nel cloud Klytic, su un’istanza dedicata o sui suoi server. Il cloud Klytic è ospitato in qualsiasi area geografica corrispondente alla giurisdizione applicabile, salvo disponibilità dei servizi, in particolare in Europa o a Mauritius. L’attivazione richiede generalmente da 24 a 48 ore: Klytic prepara la configurazione, poi lei modifica il record MX del suo dominio, oppure Klytic lo fa per lei.
Che cosa Klytic MTA non fa: non sostituisce il suo sistema di posta, i suoi account né i suoi diritti, e vede solo la posta che passa attraverso di lui. Per Microsoft 365 e gli altri sistemi di posta, veda Proteggere la posta che già utilizza.
Questa pagina descrive un’architettura generale. La configurazione esatta dipende dal suo sistema di posta e dai suoi domini.
Fonti
Consultate a ottobre 2026.
- RFC 5321, Simple Mail Transfer Protocol: i server SMTP agiscono come agenti di trasferimento (MTA); gli host intermedi sono in genere designati dal record MX del DNS. rfc-editor.org
- Klytic, pagina Klytic MTA: moduli delle offerte Essential e Advanced, opzioni, modalità di installazione, attivazione tramite il record MX, conservazione dei messaggi limitata alla coda e alla quarantena. klytic.com
- ANSSI, «10 règles d’or en matière de sécurité numérique» (10 regole d’oro in materia di sicurezza digitale): la 6ª regola, «Protégez votre messagerie électronique» (Proteggete la vostra posta elettronica), descrive il phishing e raccomanda di diffidare dei link e degli allegati dubbi, di verificare tramite un altro canale e di attivare l’autenticazione a due fattori. cyber.gouv.fr
- ANSSI, «Guide d’hygiène informatique» (Guida all’igiene informatica), versione 2.0, settembre 2017, misura 24 «Protéger sa messagerie professionnelle» (Proteggere la propria posta aziendale): «La posta elettronica è il principale vettore di infezione della postazione di lavoro» (traduzione). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, repertorio di misure, misura «Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage» (Adottare una soluzione antispam e anti-phishing): «I sistemi di posta sono uno dei principali vettori di attacco, poiché ampiamente utilizzati ed esposti su Internet» (traduzione). monservicesecurise.cyber.gouv.fr
- ANSSI, «Recommandations relatives à l’interconnexion d’un système d’information à Internet» (Raccomandazioni relative all’interconnessione di un sistema informativo a Internet), ANSSI-PA-066, versione 3.0, 19 giugno 2020, capitolo 5 «Sécurisation du service de messagerie électronique» (Messa in sicurezza del servizio di posta elettronica): la posta elettronica «è diventata uno dei principali vettori di attacco informatico» (traduzione) (phishing, allegati malevoli); § 5.2.3, meccanismi antispam e di ricerca di contenuti malevoli «devono essere attuati». messervices.cyber.gouv.fr
