Dwa możliwe miejsca dla filtra
Każdy firmowy system pocztowy już filtruje pocztę. Microsoft 365, Google Workspace, serwer Exchange czy serwer hostowany mają wbudowany antyspam i antywirus. Taki filtr jest zaprojektowany dla platformy, na której działa: jego reguły, raporty i dzienniki istnieją w tej platformie i znikają razem z nią w dniu zmiany dostawcy.
Bramka SMTP. Serwer pocztowy umieszczony przed skrzynką. RFC 5321, który opisuje przesyłanie poczty w Internecie, nazywa „agentem przesyłania poczty” (MTA) serwer, który odbiera wiadomość i przekazuje ją dalej. Rekord MX domeny wskazuje na bramkę: to z nią serwery nadawców łączą się w pierwszej kolejności.
Po analizie bramka przekazuje wiadomość do serwera skrzynek. Użytkownicy jej nie widzą. Zachowują swój program pocztowy, pocztę przez przeglądarkę i telefon.
Praktyczna konsekwencja: bramka nie zależy od skrzynki. Można zmienić serwer pocztowy bez zmiany filtra lub wzmocnić filtr bez zmiany serwera. To dwa odrębne zakupy, o których decyduje się osobno.
Przed dostarczeniem czy po nim
Filtr może działać w dwóch momentach, a wybór nie jest obojętny.
- Przed dostarczeniem. Wiadomość jest analizowana w trakcie przesyłania. Jeśli zostanie uznana za niebezpieczną, nie trafia do skrzynki. Złośliwy załącznik może zostać usunięty i zastąpiony komunikatem informacyjnym. Wątpliwa wiadomość trafia do kwarantanny zamiast do odbiorcy.
- Po dostarczeniu. Wiadomość jest już w skrzynce, gdy analiza się kończy lub gdy pojawia się nowa informacja, na przykład link zgłoszony kilka godzin później. Narzędzie musi ją wtedy usunąć. W międzyczasie użytkownik mógł ją otworzyć, kliknąć link lub przekazać załącznik.
Oba podejścia często się łączy: analiza na wejściu, a następnie ochrona, która działa dalej w momencie kliknięcia, ponieważ strona bezpieczna w chwili odbioru może zostać później zainfekowana. Żadne z nich nie twierdzi, że zatrzyma wszystko.
Klytic umieszcza analizę przed skrzynką z prostego powodu: tego, co nie zostało dostarczone, nie trzeba potem wyłapywać. Nie zwalnia to z ludzkiej czujności, gdy wiarygodna wiadomość przechodzi wszystkie kontrole, jak w przypadku oszustwa „na prezesa”.
Dlaczego umieścić MTA bezpieczeństwa przed serwerem
- Narzędzie wyspecjalizowane w tym zadaniu. Bramka nie zarządza ani kalendarzem, ani przechowywaniem danych. Jej reguły dotyczą nadawcy, treści i załączników i są konfigurowane osobno dla każdej domeny.
- Ochrona, która pozostaje na miejscu. Przetrwa zmianę serwera skrzynek i może obejmować kilka serwerów jednocześnie: spółkę zależną, dotychczasowy system pocztowy, nową platformę.
- Czytelna decyzja w jednym miejscu. Każda wiadomość zawiera powód decyzji, niezależnie od tego, który serwer ją potem odbiera.
- Druga opinia. Wbudowany filtr systemu pocztowego nadal działa za bramką.
Koszt: o jednego pośrednika więcej na drodze wiadomości. Trzeba go zadeklarować w serwerze skrzynek, w przeciwnym razie serwer widzi, że cała poczta przychodzi z jednego adresu, i źle ocenia rzeczywistego nadawcę. Trzeba też przejrzeć SPF, DKIM i DMARC. Strona Ochrona poczty, z której Państwo już korzystają opisuje te ustawienia.
Dotyczy to wszystkich
Według ANSSI, francuskiej krajowej agencji ds. cyberbezpieczeństwa, poczta e-mail jest „głównym wektorem infekcji stacji roboczych”, a systemy pocztowe są „jednym z głównych wektorów ataków, ponieważ są bardzo szeroko używane i wystawione w Internecie”. Phishing, złośliwy załącznik, fałszywe polecenie przelewu: wystarczy adres e-mail, by stać się celem, a mikroprzedsiębiorstwo jest nim w tym samym stopniu co duża grupa.
ANSSI uznaje ochronę poczty za jedną ze swoich dziesięciu złotych zasad bezpieczeństwa cyfrowego, a jej katalog środków zaleca wdrożenie rozwiązania antyspamowego i antyphishingowego. Jej poradnik dotyczący podłączenia systemu informatycznego do Internetu przypomina, że służbowe korzystanie z poczty jest bardzo powszechne „niezależnie od wielkości i sektora działalności podmiotu”, a mechanizmy antyspamowe i wykrywania złośliwych treści „muszą zostać wdrożone”.
Filtrowanie bezpieczeństwa poczty nie jest więc już opcją. Prawdziwe pytanie brzmi: gdzie się znajduje i co potrafi zatrzymać, zanim wiadomość trafi do skrzynki.
Bramka uzupełnia filtr systemu pocztowego o analizę niezależną od dostawcy Państwa skrzynek, jednolitą politykę dla kilku serwerów lub kilku spółek oraz decyzje, które można wyjaśnić.
Żaden filtr, ani wbudowany, ani umieszczony przed systemem, nie zastąpi nawyków, o których przypomina ANSSI: nie klikać wątpliwych linków ani załączników, nie odpowiadać na podejrzane e-maile, weryfikować innym kanałem, włączyć uwierzytelnianie dwuskładnikowe.
Co bramka widzi i co przechowuje
Aby podjąć decyzję, bramka odczytuje całą wiadomość: deklarowanego nadawcę i serwer, który ją wysyła, wyniki uwierzytelniania (SPF, DKIM, DMARC), tekst, linki, załączniki. Na tej podstawie podejmuje decyzję: dostarczyć, umieścić w kwarantannie, odrzucić lub odłożyć w czasie wiadomość od nieznanego nadawcy.
Odczytywać to nie to samo co przechowywać. Właściwe pytanie do dostawcy brzmi: co zostaje i na jak długo? W przypadku Klytic MTA odpowiedź obejmuje trzy sytuacje oraz ślad decyzji.
| Sytuacja | Co jest przechowywane | Okres |
|---|
| Normalne dostarczenie | Dane osobowe z analizy (nadawca, odbiorcy, temat, treść, nazwy załączników) są usuwane. Pozostają znacznik czasu, domena nadawcy, wyniki i decyzja. | Usunięcie domyślnie po 2 dniach, okres konfigurowalny |
| Niebezpieczna wiadomość w kwarantannie | Cała wiadomość, zaszyfrowana | Przez okres ważności linku do zwolnienia, 7 dni |
| Serwer skrzynek niedostępny | Wiadomość, zaszyfrowana (AES-256-GCM), w kolejce | Do momentu dostarczenia lub upływu terminu |
| Wszystkie decyzje | Wynik i powód, bez treści | Dane techniczne przechowywane do celów statystycznych |
„Brak przechowywania wiadomości w normalnym trybie działania” oznacza więc: brak trwałej kopii dostarczonej poczty. Nie oznacza „zero danych”. Bramka zachowuje ślad swoich decyzji, a przez kilka dni również szczegóły analizy. Terminy opisano w poradniku Przechowywanie i analiza dzienników bezpieczeństwa poczty e-mail.
Droga wiadomości krok po kroku
- Serwer nadawcy szuka rekordu MX Państwa domeny. Znajduje bramkę i przekazuje jej wiadomość.
- Bramka sprawdza nadawcę (uwierzytelnianie, reputacja), wiadomość (linki, tekst, znany scenariusz), a następnie załączniki.
- Wiadomość bezpieczna: bramka dostarcza ją do Państwa systemu pocztowego, jakikolwiek by on był: Microsoft 365, Google Workspace, Exchange, Klytic Mail lub inny serwer.
- Wiadomość niebezpieczna: trafia do zaszyfrowanej kwarantanny. Odbiorca otrzymuje powiadomienie i może ją zwolnić za pomocą linku, jeśli to pomyłka.
- Wiadomość odrzucona: serwer nadawcy otrzymuje odmowę i informuje swojego użytkownika.
- Państwa serwer skrzynek nie odpowiada: wiadomość czeka, zaszyfrowana, a następnie zostaje dostarczona, gdy tylko serwer znowu działa.
Ta droga opiera się na normalnym działaniu SMTP: serwer, który otrzyma błąd tymczasowy, zachowuje wiadomość i ponawia próbę. Poradnik migracja poczty bez przerw wyjaśnia, dlaczego ten mechanizm zapobiega utracie poczty podczas zmiany rekordu MX.
Najczęściej zadawane pytania
Czy mała firma potrzebuje filtrowania bezpieczeństwa?
Tak. Ataki e-mailowe nie wybierają celu według jego wielkości. Bramka to sposób na wdrożenie takiego filtrowania bez zmiany systemu pocztowego: zob. Ochrona poczty, z której Państwo już korzystają.
Czy bramka zastępuje filtr Microsoft 365 lub Google Workspace?
Nie. Wbudowany filtr nadal działa za nią. Dostawcy opisują, jak zadeklarować bramkę, aby ich własna analiza pozostała trafna: zob. Ochrona poczty, z której Państwo już korzystają.
Czy bramka opóźnia pocztę?
Analiza dodaje jeden etap. Zauważalny przypadek jest celowy: wiadomość od nieznanego nadawcy może zostać na krótko wstrzymana, co eliminuje automatyczne wysyłki, które nigdy nie ponawiają próby.
Czy można zmienić system pocztowy, zachowując bramkę?
Tak. Rekord MX nadal wskazuje na bramkę; zmienia się tylko serwer docelowy. Przebieg przełączenia opisano w poradniku migracja poczty bez przerw.
Co się dzieje z wiadomością odłożoną omyłkowo?
Jest w kwarantannie, nie została usunięta. Zob. Kwarantanna, fałszywe alarmy i zgłoszenia.
Czym się to różni od dedykowanego lub lokalnie zainstalowanego systemu pocztowego?
To kwestia skrzynki, a nie filtra. Omawiamy ją w poradniku poczta w chmurze, dedykowana czy w Państwa siedzibie.
Miejsce Klytic
Klytic MTA jest bramką tego typu. Można go wykupić osobno, bez Klytic Mail, i dostarcza pocztę do Klytic Mail, Microsoft 365, Google Workspace, Exchange lub dowolnego innego serwera pocztowego.
- Essential: uwierzytelnianie i reputacja (SPF, DKIM, DMARC również dla przekazywanych wiadomości, wiek domen, czarne listy), antyspam, antywirus, ochrona przed phishingiem, domeny łudząco podobne i nazwa wyświetlana, złośliwe makra i pliki PDF, zaszyfrowana kwarantanna i zwalnianie wiadomości, podpis DKIM wysyłanych wiadomości, wycofanie przed wysłaniem, podpis S/MIME wysyłanych wiadomości dla systemu pocztowego, który go nie obsługuje, jeśli klient go włączy i powierzy swój klucz (dostarczenie certyfikatu jest opcją), rozstrzyganie przez AI w przypadku niejednoznacznych wiadomości, wynik i powód w nagłówkach.
- Advanced: wszystko, co Essential, plus oszustwa „na prezesa” i oszustwa finansowe, linki ponownie analizowane w momencie kliknięcia, złośliwe pliki HTML, konsola DMARC i dzienniki z możliwością eksportu do systemu SIEM.
Usługę można wdrożyć w chmurze Klytic, na dedykowanej instancji lub na Państwa serwerach. Chmura Klytic jest hostowana w każdej strefie geograficznej odpowiadającej obowiązującej jurysdykcji, z zastrzeżeniem dostępności usług, w szczególności w Europie lub na Mauritiusie. Uruchomienie trwa zwykle od 24 do 48 godzin: Klytic przygotowuje konfigurację, a następnie Państwo zmieniają rekord MX domeny lub Klytic robi to za Państwa.
Czego Klytic MTA nie robi: nie zastępuje Państwa systemu pocztowego, jego kont ani uprawnień i widzi wyłącznie pocztę, która przez niego przechodzi. W przypadku Microsoft 365 i innych systemów pocztowych zob. Ochrona poczty, z której Państwo już korzystają.
Ta strona opisuje ogólną architekturę. Dokładna konfiguracja zależy od Państwa systemu pocztowego i domen.
Źródła
Stan na październik 2026 r.
- RFC 5321, Simple Mail Transfer Protocol: serwery SMTP działają jako agenty przesyłania poczty (MTA); hosty pośredniczące są zazwyczaj wskazywane przez rekord MX w DNS. rfc-editor.org
- Klytic, strona Klytic MTA: moduły pakietów Essential i Advanced, opcje, tryby wdrożenia, uruchomienie poprzez rekord MX, przechowywanie wiadomości ograniczone do kolejki i kwarantanny. klytic.com
- ANSSI, „10 règles d’or en matière de sécurité numérique” (10 złotych zasad bezpieczeństwa cyfrowego): zasada 6, „Protégez votre messagerie électronique” (Chroń swoją pocztę elektroniczną), opisuje phishing i zaleca ostrożność wobec wątpliwych linków i załączników, weryfikację innym kanałem oraz włączenie uwierzytelniania dwuskładnikowego. cyber.gouv.fr
- ANSSI, „Guide d’hygiène informatique” (Poradnik higieny informatycznej), wersja 2.0, wrzesień 2017, środek 24 „Protéger sa messagerie professionnelle” (Chronić służbową pocztę): „Poczta e-mail jest głównym wektorem infekcji stacji roboczych” (tłumaczenie). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, katalog środków, środek „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage” (Wdrożyć rozwiązanie antyspamowe i antyphishingowe): „Systemy pocztowe są jednym z głównych wektorów ataków, ponieważ są bardzo szeroko używane i wystawione w Internecie” (tłumaczenie). monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet” (Zalecenia dotyczące podłączenia systemu informatycznego do Internetu), ANSSI-PA-066, wersja 3.0, 19 czerwca 2020 r., rozdział 5 „Sécurisation du service de messagerie électronique” (Zabezpieczenie usługi poczty elektronicznej): poczta e-mail „stała się jednym z głównych wektorów ataków informatycznych” (phishing, złośliwe załączniki); § 5.2.3: mechanizmy antyspamowe i wykrywania złośliwych treści „muszą zostać wdrożone” (tłumaczenie). messervices.cyber.gouv.fr
