O que obtém
| Função | Essential | Advanced |
|---|
| Assinatura DKIM dos e-mails enviados, mesmo que o seu correio eletrónico não o faça | Incluído | Incluído |
| Anulação antes do envio de uma mensagem | Incluído | Incluído |
| Assinatura S/MIME pelo gateway, com a sua chave, se a ativar | Incluído | Incluído |
| Fornecimento do certificado S/MIME | Opção | Opção |
Estas funções aplicam-se ao correio que passa pelo Klytic MTA. O seu correio eletrónico, seja o Microsoft 365, o Google Workspace, o Exchange, o Klytic Mail ou outro servidor, tem portanto de entregar as suas mensagens enviadas ao gateway, que as transmite depois aos destinatários. A Klytic prepara este percurso consigo durante a ativação do serviço. Os preços constam da página Preços.
Quem faz o quê
- O administrador do seu correio eletrónico faz passar o correio enviado pelo Klytic MTA, de acordo com as indicações da Klytic.
- A pessoa que gere o DNS do seu domínio publica a chave pública DKIM e atualiza o registo SPF.
- O administrador do domínio no Klytic MTA decide a política de envio: assinatura e atraso de envio.
- A Klytic prepara a configuração e fornece-lhe os valores a publicar.
- O utilizador envia como habitualmente e pode recuperar uma mensagem durante o atraso de envio.
Assinar o correio em DKIM
A assinatura DKIM permite ao servidor do destinatário verificar que a mensagem vem realmente do seu domínio e que não foi alterada pelo caminho. Melhora a entregabilidade e torna mais difícil a usurpação do seu domínio. O Klytic MTA pode acrescentá-la mesmo que o seu correio eletrónico atual não assine, o que é útil quando mantém o Microsoft 365, o Google Workspace ou outro servidor.
- A Klytic prepara a assinatura para o seu domínio e comunica-lhe o registo DNS a publicar, que contém a chave pública.
- O gestor do seu DNS publica esse registo. Atualiza também o registo SPF, que passa a ter de incluir o gateway como servidor de envio.
- Depois de o percurso de saída estar implementado, envie uma mensagem de teste para um endereço externo e apresente os seus cabeçalhos: deve aparecer uma linha DKIM-Signature que mencione o seu domínio.
Cada domínio protegido recebe a sua própria assinatura. Uma mensagem pode ter várias assinaturas DKIM: se o seu correio eletrónico já assina, a assinatura que conta para o DMARC é a que corresponde ao domínio visível do remetente.
O atraso de envio
Uma mensagem enviada depressa demais, para o destinatário errado ou com o anexo errado, já não se recupera depois de entregue. O Klytic MTA pode reter as mensagens enviadas durante um breve período antes de as transmitir. Durante essa janela, a mensagem pode ser recuperada; depois, sai normalmente.
O atraso configura-se na política de envio do domínio. O meio de recuperar uma mensagem durante a janela é indicado aos seus utilizadores durante a ativação do serviço.
Este atraso é uma função do gateway, não do seu programa de correio eletrónico. Não deve ser confundido com a função de recolha de alguns programas, que pede posteriormente ao destinatário que elimine uma mensagem já recebida: aqui, a mensagem ainda não saiu do seu domínio.
Exemplo. Uma gestora de processamento salarial envia o ficheiro dos salários ao «Julien», e o preenchimento automático escolhe o Julien de um cliente em vez do colega do serviço. Ela dá conta disso de imediato. A mensagem ainda está retida pelo gateway: recupera-a antes de sair.
Uma mensagem retida por este atraso não está em quarentena. A quarentena diz respeito ao correio recebido perigoso: ver Quarentena, falsos positivos e denúncias.
Assinatura S/MIME quando o seu correio eletrónico não a disponibiliza
O S/MIME baseia-se num certificado associado a um endereço de e-mail. A assinatura S/MIME permite ao destinatário verificar quem enviou a mensagem e que esta não foi alterada pelo caminho.
Muitos correios eletrónicos sabem assinar em S/MIME a partir do posto do utilizador. Se o seu não o permitir, o Klytic MTA pode fazê-lo em seu lugar: o gateway assina a mensagem enviada com a chave do remetente, antes de a transmitir ao destinatário.
Uma decisão do cliente
- Opta por ativá-la. A assinatura S/MIME pelo gateway nunca é implementada por defeito.
- Confia a sua chave ao Klytic MTA. Para assinar em seu lugar, o gateway tem de deter a chave privada correspondente ao certificado. Esta escolha é sua: equivale a aceitar que o operador do gateway utilize essa chave para assinar os seus envios.
- O certificado pode ser o seu ou ser fornecido pela Klytic: o fornecimento do certificado é uma opção, nas duas ofertas.
Se preferir que a chave privada nunca saia dos seus postos, assine a partir de um correio eletrónico que suporte S/MIME e deixe esta opção desativada. O guia O que é uma cloud soberana? explica porque é que a detenção da chave é importante.
| Mecanismo | O que protege |
|---|
| Encriptação do transporte (TLS) | O percurso entre dois servidores. Para outro domínio, depende também do servidor que recebe. |
| Assinatura DKIM | A autenticidade do domínio que envia, verificada pelos servidores de destino. |
| Assinatura S/MIME | A identidade do remetente e a integridade da mensagem, verificadas pelo destinatário. |
Limites
- O gateway só assina e retém o correio que passa por ele. As mensagens enviadas diretamente por outros serviços em nome do seu domínio, como uma ferramenta de newsletters ou um programa de faturação, configuram-se à parte.
- Decorrido o atraso, uma mensagem enviada já não pode ser recuperada pelo gateway.
- A assinatura S/MIME pelo gateway só existe se a tiver ativado e tiver confiado a sua chave ao Klytic MTA.
Nada disto exige o Klytic Mail. Para o caso de manter o seu correio eletrónico atual, consulte Proteger o correio eletrónico que já tem.
Perguntas frequentes
É preciso o Klytic Mail para assinar em DKIM com o Klytic MTA?
Não. A assinatura é acrescentada pelo gateway, à frente de qualquer correio eletrónico. Ver Proteger o correio eletrónico que já tem.
O que verificam o SPF e o DMARC nos meus envios?
Ver SPF, DKIM e DMARC. A consola DMARC da oferta Advanced acompanha os relatórios dos seus domínios: ver Ler e exportar uma decisão do filtro.
Quem decide o atraso de envio?
O administrador do domínio, na política de envio. A repartição dos papéis está descrita em Quem configura o filtro no Klytic MTA.
O Klytic MTA assina as minhas mensagens em S/MIME sem o meu acordo?
Não. É uma opção que ativa, confiando a sua chave ao gateway. Sem isso, o Klytic MTA não assina em S/MIME.
Posso utilizar o meu próprio certificado S/MIME?
Sim, o fornecimento do certificado pela Klytic é apenas uma opção. Prepare a ativação com a Klytic, através da página Contacto.
