Dois lugares possíveis para o filtro
Qualquer serviço de correio eletrónico profissional já filtra o correio. O Microsoft 365, o Google Workspace, um servidor Exchange ou um servidor alojado têm um antispam e um antivírus integrados. Esse filtro foi concebido para a plataforma que o suporta: as suas regras, os seus relatórios e os seus registos vivem nessa plataforma, e vão-se com ela no dia em que se muda de fornecedor.
Gateway SMTP. Um servidor de correio colocado a montante da caixa de correio. O RFC 5321, que descreve o transporte do correio na Internet, chama «agente de transferência» (MTA) a um servidor que recebe uma mensagem e a transmite mais adiante. O registo MX do domínio designa o gateway: é, portanto, a ele que os servidores remetentes contactam em primeiro lugar.
Depois da análise, o gateway entrega a mensagem ao servidor de caixas de correio. Os utilizadores não o veem. Mantêm o seu programa de correio, o seu webmail e o seu telemóvel.
Consequência prática: o gateway não depende da caixa de correio. Pode mudar-se de servidor de correio sem mudar de filtro, ou reforçar o filtro sem mudar de servidor. São duas compras distintas, que se decidem separadamente.
Antes ou depois da entrega
Um filtro pode atuar em dois momentos, e a escolha não é neutra.
- Antes da entrega. A mensagem é analisada enquanto está em trânsito. Se for considerada perigosa, não entra na caixa de correio. Um anexo armadilhado pode ser retirado e substituído por uma mensagem informativa. Uma mensagem duvidosa vai para quarentena em vez de ser entregue.
- Depois da entrega. A mensagem já está na caixa de correio quando a análise conclui, ou quando chega uma informação nova, por exemplo uma ligação assinalada algumas horas mais tarde. A ferramenta tem então de a ir retirar. Entretanto, o utilizador pode tê-la aberto, clicado ou reencaminhado o anexo.
As duas abordagens combinam-se muitas vezes: uma análise a montante e, depois, uma proteção que continua no momento do clique, porque um site limpo no momento da receção pode ser armadilhado mais tarde. Nenhuma pretende travar tudo.
A Klytic coloca a análise antes da caixa de correio por uma razão simples: o que não é entregue não tem de ser recuperado. Isso não dispensa um reflexo humano quando uma mensagem credível passa todos os controlos, como na fraude do CEO.
Porquê colocar um MTA de segurança à frente do servidor
- Uma ferramenta especializada nessa função. O gateway não gere agendas nem armazenamento. As suas regras incidem sobre o remetente, o conteúdo e os anexos, e configuram-se domínio a domínio.
- Uma proteção que se mantém. Sobrevive a uma mudança de servidor de caixas de correio e pode cobrir vários servidores ao mesmo tempo: uma filial, um serviço de correio antigo, uma nova plataforma.
- Uma decisão legível no mesmo sítio. Cada mensagem traz o motivo da decisão, seja qual for o servidor que a recebe a seguir.
- Uma segunda opinião. O filtro integrado do serviço de correio continua a funcionar atrás do gateway.
O que isso custa: mais um intermediário no trajeto. É preciso declará-lo ao servidor de caixas de correio; caso contrário, este vê todo o correio chegar de um único endereço e avalia mal o remetente real. É também preciso rever o SPF, o DKIM e o DMARC. A página Proteger o correio eletrónico que já tem descreve essas configurações.
Todos estão abrangidos
Para a ANSSI, a agência francesa de cibersegurança, o correio eletrónico é «o principal vetor de infeção do posto de trabalho» (tradução), e os sistemas de correio são «um dos principais vetores de ataque, por serem muito amplamente utilizados e estarem expostos na Internet» (tradução). Phishing, anexo armadilhado, falsa ordem de transferência: basta um endereço de e-mail para ser visado, e uma microempresa é-o tanto como um grande grupo.
A ANSSI faz da proteção do correio eletrónico uma das suas dez regras de ouro da segurança digital, e o seu referencial de medidas recomenda implementar uma solução antispam e antiphishing. O seu guia sobre a interligação de um sistema de informação à Internet lembra que a utilização profissional do correio eletrónico está muito difundida «seja qual for a dimensão e o setor de atividade da entidade» (tradução), e que mecanismos antispam e de deteção de conteúdo malicioso «devem ser implementados».
Uma filtragem de segurança do correio já não é, portanto, opcional. A verdadeira questão é o lugar onde se coloca e o que consegue travar antes de a mensagem chegar à caixa de correio.
O gateway acrescenta ao filtro do serviço de correio uma análise que não depende do fornecedor das suas caixas de correio, uma mesma política para vários servidores ou várias empresas, e decisões que se conseguem explicar.
Nenhum filtro, integrado ou colocado à frente, substitui os reflexos lembrados pela ANSSI: não clicar numa ligação ou num anexo duvidoso, não responder a um e-mail suspeito, verificar por outro canal, ativar a autenticação de dois fatores.
O que o gateway vê e o que guarda
Para decidir, um gateway lê toda a mensagem: o remetente indicado e o servidor que a envia, os resultados de autenticação (SPF, DKIM, DMARC), o texto, as ligações, os anexos. Daqui tira uma decisão: entregar, colocar em quarentena, rejeitar ou adiar um remetente desconhecido.
Ler não é conservar. A boa pergunta a fazer a um fornecedor é: o que fica e durante quanto tempo? Para o Klytic MTA, a resposta distingue três casos, mais o rasto da decisão.
| Situação | O que é conservado | Duração |
|---|
| Entrega normal | Os dados pessoais de análise (remetente, destinatários, assunto, corpo, nomes dos anexos) são purgados. Ficam a data e hora, o domínio remetente, as pontuações e a decisão. | Purga após 2 dias por predefinição, prazo configurável |
| Mensagem perigosa em quarentena | A mensagem completa, cifrada | O período de validade da ligação de libertação, 7 dias |
| Servidor de caixas de correio inacessível | A mensagem, cifrada (AES-256-GCM), em fila de espera | Até à entrega ou ao fim do prazo |
| Todas as decisões | Pontuação e motivo, sem o conteúdo | Dados técnicos conservados para as estatísticas |
«Nenhum armazenamento das mensagens em funcionamento normal» quer, portanto, dizer: nenhuma cópia duradoura do correio entregue. Não é «zero dados». O gateway guarda o rasto das suas decisões e, durante alguns dias, o detalhe da análise. Os prazos são detalhados em Conservar e reler os registos de segurança dos e-mails.
O trajeto, passo a passo
- Um servidor remetente procura o MX do seu domínio. Encontra o gateway e entrega-lhe a mensagem.
- O gateway verifica o remetente (autenticação, reputação), a mensagem (ligações, texto, cenário conhecido) e, depois, os anexos.
- Mensagem limpa: entrega-a ao seu serviço de correio, seja ele qual for: Microsoft 365, Google Workspace, Exchange, Klytic Mail ou outro servidor.
- Mensagem perigosa: vai para a quarentena cifrada. O destinatário é avisado e pode libertá-la através de uma ligação, se se tratar de um erro.
- Mensagem recusada: o servidor remetente recebe uma rejeição e avisa o seu utilizador.
- O seu servidor de caixas de correio não responde: a mensagem fica à espera, cifrada, e é entregue assim que o servidor volta.
Este trajeto assenta no comportamento normal do SMTP: um servidor que recebe um erro temporário guarda a mensagem e tenta de novo. O guia migrar o correio eletrónico sem interrupção explica porque este mecanismo evita perder correio durante uma mudança de MX.
Perguntas frequentes
Uma pequena empresa precisa de uma filtragem de segurança?
Sim. Os ataques por e-mail não escolhem o alvo pela sua dimensão. O gateway é uma forma de implementar essa filtragem sem mudar de serviço de correio: ver Proteger o correio eletrónico que já tem.
Um gateway substitui o filtro do Microsoft 365 ou do Google Workspace?
Não. O filtro integrado continua a trabalhar atrás dele. Os fornecedores descrevem como declarar um gateway para que a sua própria análise continue correta: ver Proteger o correio eletrónico que já tem.
O gateway atrasa o correio?
A análise acrescenta uma etapa. O caso visível é intencional: um remetente desconhecido pode ser colocado brevemente em espera, o que afasta envios automáticos que nunca voltam a tentar.
É possível mudar de serviço de correio mantendo o gateway?
Sim. O MX continua a designar o gateway; só muda o servidor de entrega. O desenrolar de uma transição está em migrar o correio eletrónico sem interrupção.
O que acontece a uma mensagem posta de lado por engano?
Fica em quarentena, não é eliminada. Ver Quarentena, falsos positivos e denúncias.
Qual é a diferença em relação a um serviço de correio dedicado ou instalado nas suas instalações?
É a questão da caixa de correio, não do filtro. É tratada em correio eletrónico na nuvem, dedicado ou nas suas instalações.
Onde se situa a Klytic
O Klytic MTA é um gateway deste tipo. Subscreve-se sozinho, sem o Klytic Mail, e entrega para o Klytic Mail, o Microsoft 365, o Google Workspace, o Exchange ou qualquer outro servidor de correio.
- Essential: autenticação e reputação (SPF, DKIM, DMARC, incluindo para as mensagens reencaminhadas, idade dos domínios, listas negras), antispam, antivírus, anti-phishing, domínios sósia e nome de apresentação, macros e PDF armadilhados, quarentena cifrada e libertação, assinatura DKIM dos envios, retirada antes do envio, assinatura S/MIME dos envios para um serviço de correio que não a suporta, se o cliente a ativar e confiar a sua chave (o fornecimento do certificado é opcional), arbitragem por IA das mensagens ambíguas, pontuação e motivo nos cabeçalhos.
- Advanced: toda a Essential, mais a fraude do CEO e as fraudes financeiras, as ligações reanalisadas no momento do clique, os ficheiros HTML armadilhados, a consola DMARC e os registos exportáveis para um SIEM.
O serviço pode ser implementado na nuvem Klytic, numa instância dedicada ou nos seus servidores. A nuvem Klytic está alojada em qualquer zona geográfica que corresponda à jurisdição aplicável, sujeito à disponibilidade dos serviços, nomeadamente na Europa ou na Maurícia. A ativação demora geralmente 24 a 48 horas: a Klytic prepara a configuração e, depois, o cliente altera o MX do seu domínio, ou a Klytic fá-lo por si.
O que o Klytic MTA não faz: não substitui o seu serviço de correio, as respetivas contas nem as respetivas permissões, e só vê o correio que passa por ele. Para o Microsoft 365 e os outros serviços de correio, ver Proteger o correio eletrónico que já tem.
Esta página descreve uma arquitetura geral. A configuração exata depende do seu serviço de correio e dos seus domínios.
Fontes
Consultadas em outubro de 2026.
- RFC 5321, Simple Mail Transfer Protocol: os servidores SMTP atuam como agentes de transferência (MTA); os anfitriões intermédios são, em geral, designados pelo registo MX do DNS. rfc-editor.org
- Klytic, página Klytic MTA: módulos das ofertas Essential e Advanced, opções, modos de implementação, ativação através do MX, conservação das mensagens limitada à fila de espera e à quarentena. klytic.com
- ANSSI, «10 règles d’or en matière de sécurité numérique» (10 regras de ouro da segurança digital): a 6.ª regra, «Protégez votre messagerie électronique» (Proteja o seu correio eletrónico), descreve o phishing e recomenda desconfiar das ligações e dos anexos duvidosos, verificar por outro canal e ativar a autenticação de dois fatores. cyber.gouv.fr
- ANSSI, «Guide d’hygiène informatique» (Guia de higiene informática), versão 2.0, setembro de 2017, medida 24 «Protéger sa messagerie professionnelle» (Proteger o correio eletrónico profissional): «O correio eletrónico é o principal vetor de infeção do posto de trabalho» (tradução). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, referencial de medidas, medida «Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage» (Implementar uma solução antispam e antiphishing): «Os sistemas de correio são um dos principais vetores de ataque, por serem muito amplamente utilizados e estarem expostos na Internet» (tradução). monservicesecurise.cyber.gouv.fr
- ANSSI, «Recommandations relatives à l’interconnexion d’un système d’information à Internet» (Recomendações relativas à interligação de um sistema de informação à Internet), ANSSI-PA-066, versão 3.0, 19 de junho de 2020, capítulo 5 «Sécurisation du service de messagerie électronique» (Proteção do serviço de correio eletrónico): o correio eletrónico «tornou-se um dos principais vetores de ataque informático» (tradução) (phishing, anexos maliciosos); § 5.2.3, mecanismos antispam e de deteção de conteúdo malicioso «devem ser implementados». messervices.cyber.gouv.fr
