Klytic

Início›Guias›Segurança de e-mail

Segurança de e-mail · Usar Klytic MTA

Assinatura DKIM, assinatura S/MIME e recuperação das mensagens enviadas

O Klytic MTA não se limita a filtrar o que chega. As mensagens que saem pelo gateway podem ser assinadas com DKIM, mesmo que o seu e-mail não faça isso, e retidas por um breve instante para recuperar um envio precipitado. Se o seu e-mail não oferece suporte a S/MIME, o Klytic MTA também pode assinar suas mensagens com S/MIME usando a sua chave, desde que você escolha ativar essa opção e confie a chave a ele.

Atualizado em outubro de 20265 minGuia prático Klytic MTA

O que você obtém

FunçãoEssencialAvançado
Assinatura DKIM dos e-mails enviados, mesmo que o seu e-mail não faça issoIncluídoIncluído
Recuperação antes do envio de uma mensagemIncluídoIncluído
Assinatura S/MIME pelo gateway, com a sua chave, se você ativarIncluídoIncluído
Fornecimento do certificado S/MIMEOpcionalOpcional

Essas funções se aplicam às mensagens que passam pelo Klytic MTA. O seu e-mail, seja ele Microsoft 365, Google Workspace, Exchange, Klytic Mail ou outro servidor, deve portanto entregar as mensagens enviadas ao gateway, que as transmite em seguida aos destinatários. A Klytic prepara esse caminho com você na implantação. Os preços estão na página Preços.

Quem faz o quê

  • O administrador do seu e-mail faz as mensagens enviadas passarem pelo Klytic MTA, segundo as orientações da Klytic.
  • A pessoa que gerencia o DNS do seu domínio publica a chave pública DKIM e atualiza o registro SPF.
  • O administrador do domínio no Klytic MTA decide a política de envio: assinatura e atraso antes do envio.
  • A Klytic prepara a configuração e fornece os valores a publicar.
  • O usuário envia como de costume, e pode recuperar uma mensagem durante o atraso antes do envio.

Assinar as mensagens com DKIM

A assinatura DKIM permite ao servidor do destinatário verificar que a mensagem vem mesmo do seu domínio e que não foi modificada no caminho. Ela melhora a entregabilidade e torna mais difícil a falsificação do seu domínio. O Klytic MTA pode acrescentá-la mesmo que o seu e-mail atual não assine, o que é útil quando você mantém o Microsoft 365, o Google Workspace ou outro servidor.

  1. A Klytic prepara a assinatura para o seu domínio e informa o registro DNS a publicar, que contém a chave pública.
  2. O responsável pelo seu DNS publica esse registro. Ele também atualiza o registro SPF, que passa a ter de considerar o gateway como servidor de envio.
  3. Com o caminho de saída implantado, envie uma mensagem de teste para um endereço externo e exiba seus cabeçalhos: deve aparecer uma linha DKIM-Signature mencionando o seu domínio.

Cada domínio protegido recebe sua própria assinatura. Uma mensagem pode ter várias assinaturas DKIM: se o seu e-mail já assina, a assinatura que conta para o DMARC é a que corresponde ao domínio visível do remetente.

Se você publica uma política DMARC restritiva, altere SPF e DKIM antes de fazer as mensagens passarem pelo gateway, e não depois. O sentido desses mecanismos é explicado em SPF, DKIM e DMARC: o que protegem e o que não protegem.

O atraso antes do envio

Uma mensagem enviada rápido demais, para o destinatário errado ou com o anexo errado, não pode mais ser recuperada depois de entregue. O Klytic MTA pode reter as mensagens enviadas durante um breve atraso antes de transmiti-las. Durante essa janela, a mensagem pode ser recuperada; depois, ela sai normalmente.

O atraso é configurado na política de envio do domínio. O meio de recuperar uma mensagem durante a janela é informado aos seus usuários na implantação.

Esse atraso é uma função do gateway, não do seu programa de e-mail. Não deve ser confundido com a função de recolher mensagem de alguns programas, que pede depois ao destinatário para excluir uma mensagem já recebida: aqui, a mensagem ainda não saiu do seu domínio.

Exemplo. Uma analista de folha de pagamento envia o arquivo dos salários para “Julien”, e o preenchimento automático escolhe o Julien de um cliente em vez do colega do departamento. Ela percebe na hora. A mensagem ainda está retida pelo gateway: ela a recupera antes que saia.

Uma mensagem retida por esse atraso não está em quarentena. A quarentena diz respeito às mensagens recebidas perigosas: veja Quarentena, falsos positivos e denúncias.

Assinatura S/MIME quando o seu e-mail não a oferece

O S/MIME se apoia em um certificado vinculado a um endereço de e-mail. A assinatura S/MIME permite ao destinatário verificar quem enviou a mensagem e que ela não foi modificada no caminho.

Muitos e-mails sabem assinar com S/MIME a partir da estação do usuário. Se o seu não permite, o Klytic MTA pode fazer isso no lugar dele: o gateway assina a mensagem enviada com a chave do remetente, antes de transmiti-la ao destinatário.

Uma decisão do cliente

  • Você escolhe ativá-la. A assinatura S/MIME pelo gateway nunca é implantada automaticamente.
  • Você confia a sua chave ao Klytic MTA. Para assinar em seu lugar, o gateway precisa ter a chave privada correspondente ao certificado. Essa escolha é sua: ela significa aceitar que o operador do gateway use essa chave para assinar os seus envios.
  • O certificado pode ser o seu, ou fornecido pela Klytic: o fornecimento do certificado é uma opção, nas duas ofertas.

Se você prefere que a chave privada nunca saia das suas estações, assine a partir de um e-mail que ofereça suporte a S/MIME e mantenha essa opção desativada. O guia O que é uma nuvem soberana? explica por que a posse da chave importa.

MecanismoO que ele protege
Criptografia do transporte (TLS)O trajeto entre dois servidores. Para outro domínio, depende também do servidor que recebe.
Assinatura DKIMA autenticidade do domínio que envia, verificada pelos servidores de destino.
Assinatura S/MIMEA identidade do remetente e a integridade da mensagem, verificadas pelo destinatário.

Limites

  • O gateway assina e retém apenas as mensagens que passam por ele. As mensagens enviadas diretamente por outros serviços em nome do seu domínio, como uma ferramenta de newsletters ou um software de faturamento, são configuradas à parte.
  • Passado o atraso, uma mensagem enviada não pode mais ser recuperada pelo gateway.
  • A assinatura S/MIME pelo gateway só existe se você a ativou e confiou a sua chave ao Klytic MTA.

Nada disso exige o Klytic Mail. Para o caso em que você mantém o seu e-mail atual, veja Proteger o e-mail que você já tem.

Perguntas frequentes

É preciso o Klytic Mail para assinar com DKIM pelo Klytic MTA?

Não. A assinatura é acrescentada pelo gateway, à frente de qualquer e-mail. Veja Proteger o e-mail que você já tem.

O que SPF e DMARC verificam nos meus envios?

Veja SPF, DKIM e DMARC. O console DMARC da oferta Avançado acompanha os relatórios dos seus domínios: veja Ler e exportar uma decisão do filtro.

Quem decide o atraso antes do envio?

O administrador do domínio, na política de envio. A divisão dos papéis é descrita em Quem configura o filtro no Klytic MTA.

O Klytic MTA assina minhas mensagens com S/MIME sem o meu consentimento?

Não. É uma opção que você ativa, confiando a sua chave ao gateway. Sem isso, o Klytic MTA não assina com S/MIME.

Posso usar o meu próprio certificado S/MIME?

Sim, o fornecimento do certificado pela Klytic é apenas uma opção. Prepare a ativação com a Klytic, pela página Contato.

Faça suas mensagens enviadas passarem pelo Klytic MTA

A Klytic prepara a assinatura DKIM e o caminho de saída com o administrador do seu e-mail.

Falar com a Klytic →

A oferta Klytic MTA

Leia também

Entender · Segurança de e-mailSPF, DKIM e DMARC: o que protegem e o que não protegemSPF, DKIM e DMARC impedem o uso exato do seu domínio. Eles não leem a mensagem: o que barram, o que passa e como implantá-los.6 min de leituraLer →Entender · Segurança de e-mailProteger o e-mail que você já temMicrosoft 365, Google Workspace, Exchange: dá para acrescentar um gateway de segurança sem trocar de e-mail. O que muda, quem configura e os limites.7 min de leituraLer →Usar · Segurança de e-mailQuem configura o filtro no Klytic MTAOs cinco níveis de regras do Klytic MTA, sua ordem e quem configura cada um: o operador, o administrador do domínio ou o usuário.5 min de leituraLer →

Oferta de boas-vindas

30 dias de teste gratuito, migração acompanhada

Oferta de teste sem compromisso. Um consultor entra em contato para entender suas necessidades e preparar seu espaço Klytic.

🚀 Começar o teste gratuito Ver os preços