Para que serve um registo de segurança dos e-mails
- Compreender uma decisão. Um cliente queixa-se de que uma mensagem nunca chegou: o registo diz se foi rejeitada, colocada em quarentena ou entregue, e por que motivo.
- Provar que uma mensagem foi travada. Após uma tentativa de fraude, a empresa pode mostrar que a mensagem foi bloqueada e em que momento.
- Investigar após um incidente. Quem, na empresa, recebeu a mesma campanha? Desde quando escreve este domínio semelhante?
- Alimentar um SIEM. Uma ferramenta de supervisão da segurança cruza as decisões do filtro com os inícios de sessão, os postos de trabalho e a rede.
Registo de filtragem. O rasto das decisões do filtro: data, domínio remetente, pontuação, motivo, decisão. Não é uma cópia do correio. Conservar as próprias mensagens cabe ao correio eletrónico e, se necessário, a um arquivo legal.
O que contém uma decisão
No Klytic MTA, cada decisão é explicada. A pontuação e o motivo constam dos cabeçalhos da mensagem entregue, com nomes próprios da Klytic: X-KlyticMTA-Status para a decisão, X-KlyticMTA-Score para a pontuação, X-KlyticMTA-Reason para o motivo. Um administrador pode, portanto, ler na própria mensagem porque é que foi entregue. Isto aplica-se às duas ofertas.
A oferta Advanced acrescenta registos apresentados como conformes com os referenciais CIS e NIST, exportáveis para o seu SIEM. A diferença entre as duas ofertas é, portanto, clara:
- Essential: a decisão é explicada, mensagem a mensagem, nos cabeçalhos.
- Advanced: as decisões formam, além disso, um registo que pode enviar para a sua própria ferramenta, para o conservar e cruzar com outras fontes.
A leitura quotidiana destas decisões está descrita em Ler e exportar uma decisão do filtro.
Dois relógios que não devem ser confundidos
O relógio técnico do filtro
É conhecido e fixado pelo produto. No Klytic MTA:
| Dado | Prazo |
|---|
| Remetente, destinatários, assunto, corpo, nomes dos anexos, após uma entrega normal | Eliminados ao fim de 2 dias por predefinição; prazo configurável |
| Marca temporal, domínio remetente, pontuações, decisão, metadados de análise | Conservados após a eliminação |
| Mensagem perigosa em quarentena | Completa e encriptada durante a validade da ligação de libertação, 7 dias |
| Mensagem em fila de espera (servidor de caixas inacessível) | Encriptada até à entrega ou ao fim do prazo |
Consequência prática: um mês após os factos, o filtro sabe que uma mensagem de um determinado domínio foi colocada em quarentena, com que pontuação e com que motivo. Já não sabe quem a enviou a quem, nem o que dizia. Se um controlo procurar o conteúdo, é na caixa ou no arquivo que o deve procurar.
Atenção a uma confusão frequente: a cópia de segurança de 30 dias anunciada para as caixas do Klytic Mail diz respeito às caixas, não aos registos do gateway. São dois serviços e dois prazos.
O relógio escolhido pela empresa
Depende da finalidade. Nenhum texto fixa um prazo único para um registo de filtragem de correio eletrónico. O enquadramento é o do RGPD: conserva-se durante o tempo que a finalidade justificar, e documenta-se.
Uma referência útil: para o registo dos acessos e das operações sobre um tratamento de dados pessoais, a CNIL recomenda um prazo entre seis meses e um ano, mais em certos casos justificados. Esta recomendação não é prescritiva e visa sobretudo os registos de acesso, não um registo de filtragem. Lembra também que os registos não deveriam conservar dados para além do prazo previsto para os próprios dados.
Na prática, o prazo longo aplica-se à exportação, no seu SIEM: é aí que define a conservação, o acesso e a eliminação. O filtro, por sua vez, guarda pouco.
Exemplo: três meses após uma tentativa de fraude
Caso hipotético. Em janeiro, vários colaboradores de uma empresa recebem uma falsa mensagem do seu dirigente. Em abril, a seguradora pergunta o que aconteceu. O que se pode mostrar?
- No filtro: a data, o domínio semelhante que escreveu, a pontuação, o motivo (domínio semelhante, usurpação do nome de apresentação) e a decisão de quarentena para cada mensagem. Já não os endereços dos destinatários nem o texto, eliminados há muito.
- No SIEM, se a empresa tiver a oferta Advanced e conservar a exportação durante mais tempo: o mesmo registo, com o que a política da empresa optou por guardar, cruzado com os inícios de sessão da época.
- Nas caixas: nada, uma vez que as mensagens foram travadas antes.
A prova assenta, portanto, na decisão, não no conteúdo. Se a empresa quiser guardar mais, é uma decisão a tomar antes do incidente, fixando a conservação da exportação.
Quem acede aos registos
- O administrador do Klytic MTA lê as decisões dos seus domínios e recebe a exportação para o SIEM na oferta Advanced.
- O utilizador vê a sua própria quarentena, através da ligação que recebe, quer tenha uma caixa Klytic quer não: ver Quarentena, falsos positivos e denúncias.
- No seu SIEM, são as suas regras de acesso que se aplicam: limite a leitura às pessoas encarregadas da segurança.
Um registo de segurança contém ele próprio dados pessoais, nem que sejam domínios e horários: protege-se e elimina-se como eles.
Boas práticas
- Escrever a finalidade: diagnóstico, prova, investigação, supervisão.
- Fixar o prazo da exportação em conformidade e inscrevê-lo no registo das atividades de tratamento.
- Restringir o acesso e registar a consulta dos próprios registos.
- Não transformar o registo num arquivo do correio: guardar os metadados, não os corpos das mensagens.
- Testar uma pesquisa real: encontrar a decisão tomada sobre uma mensagem de há três meses.
As gravações telefónicas obedecem a outra lógica e a outros prazos: ver durante quanto tempo conservar as gravações.
Perguntas frequentes
É possível encontrar o conteúdo de uma mensagem filtrada há um mês?
Não no filtro, se tiver sido entregue: o conteúdo é eliminado após o prazo curto. Procure-o na caixa ou no arquivo.
Durante quanto tempo se devem guardar os registos?
Consoante a finalidade, a documentar. A recomendação da CNIL sobre o registo de atividade dá uma ordem de grandeza de seis meses a um ano.
A exportação para um SIEM está incluída na Essential?
Não, faz parte da Advanced. A Essential explica cada decisão nos cabeçalhos.
É preciso o Klytic Mail para ter estes registos?
Não. São produzidos pelo Klytic MTA, seja qual for o correio eletrónico colocado atrás.
Onde se posiciona a Klytic
O Klytic MTA explica cada decisão com uma pontuação e um motivo nos cabeçalhos, tanto na Essential como na Advanced. A Advanced acrescenta os registos exportáveis para o seu SIEM e a consola DMARC.
A retenção técnica é limitada: nenhuma conservação duradoura da mensagem entregue, eliminação do detalhe pessoal da análise após 2 dias por predefinição, mensagem perigosa guardada encriptada durante a validade da ligação de libertação, fila de espera encriptada. A conservação longa, se precisar dela, faz-se na sua ferramenta, a partir da exportação.
O serviço existe sem Klytic Mail. Implementa-se na cloud Klytic, numa instância dedicada ou nos seus servidores.
Esta página descreve um enquadramento geral. O prazo de conservação aplicável à sua organização depende das suas finalidades e, se for o caso, de obrigações setoriais.
Ponto jurídico a 11 de outubro de 2026. Nenhum texto consultado fixa um prazo de conservação próprio dos registos de filtragem de correio eletrónico. A recomendação da CNIL de 18 de novembro de 2021 sobre o registo de atividade não é prescritiva.
Fontes
Consultadas em outubro de 2026.
- CNIL, «La CNIL publie une recommandation relative aux mesures de journalisation» (A CNIL publica uma recomendação relativa às medidas de registo de atividade, 18 de novembro de 2021): prazo de conservação recomendado de seis meses a um ano para o registo dos acessos a um tratamento, extensões possíveis se justificadas, recomendação não prescritiva. cnil.fr
- Klytic, página Klytic MTA: decisão explicada nos cabeçalhos (Essential e Advanced), registos CIS / NIST exportáveis para um SIEM (Advanced), módulos das ofertas Essential e Advanced, opções, modos de implementação, ativação através do MX. klytic.com
