Twee mogelijke plaatsen voor de filter
Elk zakelijk e-mailsysteem filtert de e-mail al. Microsoft 365, Google Workspace, een Exchange-server of een gehoste server hebben een ingebouwde antispam en antivirus. Die filter is ontworpen voor het platform waarop hij draait: zijn regels, rapporten en logbestanden leven in dat platform, en verdwijnen mee op de dag dat u van leverancier verandert.
SMTP-gateway. Een mailserver die vóór de mailbox wordt geplaatst. RFC 5321, die het transport van e-mail op internet beschrijft, noemt een server die een bericht ontvangt en verder doorgeeft een ‘transfer agent’ (MTA). Het MX-record van het domein wijst naar de gateway: die wordt dus als eerste gecontacteerd door de verzendende servers.
Na de analyse geeft de gateway het bericht door aan de mailserver. De gebruikers zien hem niet. Ze behouden hun software, hun webmail en hun telefoon.
Praktisch gevolg: de gateway hangt niet af van de mailbox. U kunt van mailserver veranderen zonder van filter te veranderen, of de filter versterken zonder van server te veranderen. Het zijn twee afzonderlijke aankopen, waarover u apart beslist.
Vóór of na de aflevering
Een filter kan op twee momenten optreden, en die keuze is niet neutraal.
- Vóór de aflevering. Het bericht wordt geanalyseerd terwijl het onderweg is. Wordt het gevaarlijk bevonden, dan komt het de mailbox niet binnen. Een besmette bijlage kan worden verwijderd en vervangen door een informatiebericht. Een twijfelachtig bericht gaat in quarantaine in plaats van te worden afgeleverd.
- Na de aflevering. Het bericht staat al in de mailbox wanneer de analyse tot een besluit komt, of wanneer er nieuwe informatie binnenkomt, bijvoorbeeld een link die enkele uren later wordt gemeld. De tool moet het dan gaan verwijderen. Intussen kan de gebruiker het hebben geopend, erop hebben geklikt of de bijlage hebben doorgestuurd.
Beide benaderingen worden vaak gecombineerd: een analyse vooraf, en daarna een bescherming die doorloopt op het moment van klikken, omdat een website die bij ontvangst veilig was, later besmet kan raken. Geen van beide beweert alles tegen te houden.
Klytic plaatst de analyse vóór de mailbox om een eenvoudige reden: wat niet wordt afgeleverd, hoeft niet te worden teruggehaald. Dat ontslaat u niet van een menselijke reflex wanneer een geloofwaardig bericht alle controles doorstaat, zoals bij CEO-fraude.
Waarom een beveiligings-MTA vóór de server plaatsen
- Een tool die daarin gespecialiseerd is. De gateway beheert geen agenda en geen opslag. Zijn regels gaan over de afzender, de inhoud en de bijlagen, en worden per domein ingesteld.
- Een bescherming die blijft. Ze overleeft een verandering van mailserver en kan meerdere servers tegelijk dekken: een dochteronderneming, een historisch e-mailsysteem, een nieuw platform.
- Een leesbare beslissing op één plek. Elk bericht draagt de reden van de beslissing, welke server het daarna ook ontvangt.
- Een tweede mening. De ingebouwde filter van het e-mailsysteem blijft achter de gateway werken.
Wat het kost: een extra tussenschakel op de route. U moet die bij de mailserver aanmelden, anders ziet die alle e-mail van één adres komen en beoordeelt hij de echte afzender verkeerd. U moet ook SPF, DKIM en DMARC opnieuw nakijken. De pagina Het e-mailsysteem beschermen dat u al hebt beschrijft die instellingen.
Iedereen is betrokken
Voor het ANSSI, het Franse nationale agentschap voor informatiebeveiliging, is e-mail “de belangrijkste infectievector van de werkplek” (vertaling), en zijn e-mailsystemen “een van de belangrijkste aanvalsvectoren, omdat ze zeer breed worden gebruikt en op internet zijn blootgesteld” (vertaling). Phishing, een besmette bijlage, een vals betalingsbevel: een e-mailadres volstaat om doelwit te zijn, en een kleine onderneming is dat evengoed als een grote groep.
Het ANSSI maakt van de bescherming van e-mail een van zijn tien gouden regels voor digitale veiligheid, en zijn maatregelenkader beveelt aan een antispam- en antiphishingoplossing in te zetten. Zijn gids over de koppeling van een informatiesysteem aan internet herinnert eraan dat zakelijk gebruik van e-mail zeer wijdverbreid is, “ongeacht de omvang en de sector van de entiteit” (vertaling), en dat mechanismen voor antispam en voor het opsporen van kwaadaardige inhoud “moeten worden ingezet”.
Beveiligingsfiltering van e-mail is dus geen optie meer. De echte vraag is waar ze staat, en wat ze kan tegenhouden voordat het bericht in de mailbox aankomt.
De gateway voegt aan de filter van het e-mailsysteem een analyse toe die niet afhangt van de leverancier van uw mailboxen, één beleid voor meerdere servers of meerdere ondernemingen, en beslissingen die u kunt uitleggen.
Geen enkele filter, ingebouwd of ervoor geplaatst, vervangt de reflexen waaraan het ANSSI herinnert: niet klikken op een verdachte link of bijlage, niet antwoorden op een verdachte e-mail, via een ander kanaal controleren, tweestapsverificatie inschakelen.
Wat de gateway ziet, en wat hij bewaart
Om te beslissen leest een gateway het hele bericht: de opgegeven afzender en de server die het verstuurt, de resultaten van de authenticatie (SPF, DKIM, DMARC), de tekst, de links, de bijlagen. Daaruit volgt een beslissing: afleveren, in quarantaine plaatsen, weigeren, of een onbekende afzender uitstellen.
Lezen is niet bewaren. De juiste vraag aan een leverancier is: wat blijft er over, en hoelang? Voor Klytic MTA onderscheidt het antwoord drie gevallen, plus het spoor van de beslissing.
| Situatie | Wat wordt bewaard | Duur |
|---|
| Normale aflevering | De persoonsgegevens van de analyse (afzender, ontvangers, onderwerp, inhoud, namen van de bijlagen) worden gewist. Blijven over: het tijdstempel, het afzenderdomein, de scores en de beslissing. | Standaard gewist na 2 dagen, termijn instelbaar |
| Gevaarlijk bericht in quarantaine | Het volledige bericht, versleuteld | De geldigheidsduur van de vrijgavelink, 7 dagen |
| Mailserver onbereikbaar | Het bericht, versleuteld (AES-256-GCM), in de wachtrij | Tot de aflevering of tot de termijn verstrijkt |
| Alle beslissingen | Score en reden, zonder de inhoud | Technische gegevens bewaard voor statistieken |
‘Geen opslag van berichten bij normale werking’ betekent dus: geen blijvende kopie van de afgeleverde e-mail. Het betekent niet ‘nul gegevens’. De gateway houdt het spoor van zijn beslissingen bij, en enkele dagen lang de details van de analyse. De termijnen worden uitgelegd in Beveiligingslogbestanden van e-mail bewaren en nalezen.
De route, stap voor stap
- Een verzendende server zoekt het MX-record van uw domein op. Hij vindt de gateway en geeft het bericht aan hem door.
- De gateway controleert de afzender (authenticatie, reputatie), het bericht (links, tekst, bekend scenario) en daarna de bijlagen.
- Veilig bericht: hij levert het af aan uw e-mailsysteem, welk dat ook is: Microsoft 365, Google Workspace, Exchange, Klytic Mail of een andere server.
- Gevaarlijk bericht: het gaat in versleutelde quarantaine. De ontvanger wordt verwittigd en kan het via een link vrijgeven als het een vergissing is.
- Geweigerd bericht: de verzendende server krijgt een weigering en verwittigt zijn gebruiker.
- Uw mailserver antwoordt niet: het bericht wacht, versleuteld, en wordt afgeleverd zodra de server weer beschikbaar is.
Deze route steunt op het normale gedrag van SMTP: een server die een tijdelijke fout ontvangt, houdt het bericht bij en probeert opnieuw. De gids een e-mailsysteem migreren zonder onderbreking legt uit waarom dit mechanisme voorkomt dat er e-mail verloren gaat bij een wijziging van het MX-record.
Veelgestelde vragen
Heeft een klein bedrijf beveiligingsfiltering nodig?
Ja. Aanvallen via e-mail kiezen hun doelwit niet op basis van de omvang. De gateway is een manier om die filtering in te voeren zonder van e-mailsysteem te veranderen: zie Het e-mailsysteem beschermen dat u al hebt.
Vervangt een gateway de filter van Microsoft 365 of Google Workspace?
Nee. De ingebouwde filter blijft erachter werken. De leveranciers beschrijven hoe u een gateway aanmeldt zodat hun eigen analyse correct blijft: zie Het e-mailsysteem beschermen dat u al hebt.
Vertraagt de gateway de e-mail?
De analyse voegt een stap toe. Het zichtbare geval is bewust: een onbekende afzender kan kort worden uitgesteld, wat geautomatiseerde zendingen weert die nooit opnieuw proberen.
Kunt u van e-mailsysteem veranderen en de gateway behouden?
Ja. Het MX-record blijft naar de gateway wijzen; alleen de afleverserver verandert. Het verloop van een overschakeling staat in een e-mailsysteem migreren zonder onderbreking.
Wat gebeurt er met een bericht dat per vergissing opzij is gezet?
Het staat in quarantaine, het is niet verwijderd. Zie Quarantaine, valspositieven en meldingen.
Wat is het verschil met een dedicated of zelf geïnstalleerd e-mailsysteem?
Dat is een vraag over de mailbox, niet over de filter. Ze wordt behandeld in e-mail in de cloud, dedicated of in uw eigen gebouwen.
Waar Klytic staat
Klytic MTA is een gateway van dit type. U kunt hem afzonderlijk afnemen, zonder Klytic Mail, en hij levert af aan Klytic Mail, Microsoft 365, Google Workspace, Exchange of elke andere mailserver.
- Essential: authenticatie en reputatie (SPF, DKIM, DMARC ook voor doorgestuurde berichten, ouderdom van domeinen, zwarte lijsten), antispam, antivirus, antiphishing, lookalike-domeinen en weergavenaam, besmette macro’s en pdf’s, versleutelde quarantaine en vrijgave, DKIM-ondertekening van uitgaande e-mail, terughalen vóór verzending, S/MIME-ondertekening van uitgaande e-mail voor een e-mailsysteem dat dat niet ondersteunt, als de klant dit activeert en zijn sleutel toevertrouwt (levering van het certificaat is een optie), beoordeling van twijfelachtige berichten door AI, score en reden in de headers.
- Advanced: alles van Essential, plus CEO-fraude en financiële fraude, links die opnieuw worden geanalyseerd op het moment van klikken, besmette HTML-bestanden, de DMARC-console en logbestanden die naar een SIEM exporteerbaar zijn.
De dienst wordt ingezet in de Klytic-cloud, op een dedicated instantie of op uw servers. De Klytic-cloud wordt gehost in elke geografische zone die overeenkomt met het toepasselijke rechtsgebied, onder voorbehoud van de beschikbaarheid van de diensten, met name in Europa of op Mauritius. De ingebruikname duurt doorgaans 24 tot 48 uur: Klytic bereidt de configuratie voor, daarna past u het MX-record van uw domein aan, of Klytic doet dat voor u.
Wat Klytic MTA niet doet: het vervangt uw e-mailsysteem, de accounts en de rechten daarvan niet, en het ziet alleen de e-mail die erdoorheen gaat. Voor Microsoft 365 en de andere e-mailsystemen, zie Het e-mailsysteem beschermen dat u al hebt.
Deze pagina beschrijft een algemene architectuur. De precieze instelling hangt af van uw e-mailsysteem en uw domeinen.
Bronnen
Geraadpleegd in oktober 2026.
- RFC 5321, Simple Mail Transfer Protocol: SMTP-servers fungeren als transfer agents (MTA); tussenliggende hosts worden doorgaans aangewezen door het MX-record in de DNS. rfc-editor.org
- Klytic, pagina Klytic MTA: modules van de formules Essential en Advanced, opties, inzetmodi, ingebruikname via het MX-record, bewaring van berichten beperkt tot de wachtrij en de quarantaine. klytic.com
- ANSSI, “10 règles d’or en matière de sécurité numérique” (10 gouden regels voor digitale veiligheid): de 6e regel, “Protégez votre messagerie électronique” (Bescherm uw e-mail), beschrijft phishing en raadt aan op te passen voor verdachte links en bijlagen, via een ander kanaal te controleren en tweestapsverificatie in te schakelen. cyber.gouv.fr
- ANSSI, “Guide d’hygiène informatique” (Gids voor IT-hygiëne), versie 2.0, september 2017, maatregel 24 “Protéger sa messagerie professionnelle” (Zijn zakelijke e-mail beschermen): “E-mail is de belangrijkste infectievector van de werkplek” (vertaling). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, maatregelenkader, maatregel “Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage” (Een antispam- en antiphishingoplossing inzetten): “E-mailsystemen zijn een van de belangrijkste aanvalsvectoren, omdat ze zeer breed worden gebruikt en op internet zijn blootgesteld” (vertaling). monservicesecurise.cyber.gouv.fr
- ANSSI, “Recommandations relatives à l’interconnexion d’un système d’information à Internet” (Aanbevelingen voor de koppeling van een informatiesysteem aan internet), ANSSI-PA-066, versie 3.0, 19 juni 2020, hoofdstuk 5 “Sécurisation du service de messagerie électronique” (Beveiliging van de e-maildienst): e-mail “is een van de belangrijkste vectoren van computeraanvallen geworden” (vertaling) (phishing, kwaadaardige bijlagen); § 5.2.3, mechanismen voor antispam en voor het opsporen van kwaadaardige inhoud “moeten worden ingezet”. messervices.cyber.gouv.fr
