首页›指南›电子邮件安全
电子邮件安全 · 了解
邮件系统内置的过滤器只保护该邮件系统。安全网关则部署在邮件系统之前：域名的 MX 记录指向网关，由它接收邮件、进行分析，然后投递到邮箱服务器，无论是哪种服务器。真正的区别在于分析的时机：在邮件进入邮箱之前，还是之后。
所有企业邮件系统都已经在过滤邮件。Microsoft 365、Google Workspace、Exchange 服务器或托管服务器都内置了反垃圾邮件和防病毒功能。这类过滤器是为其所在平台设计的：其规则、报告和日志都存在于该平台中，一旦更换服务商，也会随之消失。
SMTP 网关。部署在邮箱上游的邮件服务器。描述互联网邮件传输的 RFC 5321 将接收邮件并向下一站转发的服务器称为“传输代理”（MTA）。域名的 MX 记录指向网关，因此发件服务器首先联系的就是网关。
分析完成后，网关将邮件交给邮箱服务器。用户看不到网关的存在，他们继续使用原有的客户端软件、网页邮箱和手机。
实际结果是：网关不依赖于邮箱。可以更换邮件服务器而不更换过滤器，也可以加强过滤器而不更换服务器。这是两项独立的采购，分别决策。
过滤器可以在两个时间点发挥作用，而这一选择并非无关紧要。
这两种方式常常结合使用：先在上游分析，再在点击时继续保护，因为接收时正常的网站之后可能被植入恶意内容。没有任何一种方式声称能拦截一切。
Klytic 将分析放在邮箱之前，原因很简单：没有投递的邮件就无需追回。但当一封可信的邮件通过所有检查时，仍然需要人的警觉，例如冒充高管诈骗。
代价是：传输路径上多了一个中间环节。需要在邮箱服务器上声明网关，否则邮箱服务器会看到所有邮件都来自同一个地址，从而错误判断真实发件人。还需要重新检查 SPF、DKIM 和 DMARC。保护您现有的邮件系统页面介绍了这些设置。
法国国家信息系统安全局（ANSSI）认为，电子邮件是“工作站感染的主要途径”，而邮件系统“由于使用极为广泛且暴露于互联网，是主要的攻击途径之一”（译文）。网络钓鱼、恶意附件、虚假转账指令：只要有一个电子邮件地址就可能成为攻击目标，微型企业与大型集团同样如此。
ANSSI 将保护邮件系统列为其数字安全十大黄金法则之一，其措施参考框架建议部署反垃圾邮件和反网络钓鱼解决方案。其关于信息系统与互联网互联的指南指出，邮件在工作中的使用非常普遍，“无论机构的规模和行业如何”，并且反垃圾邮件和恶意内容检测机制“必须实施”。
因此，邮件安全过滤已不再是可选项。真正的问题在于它部署在哪里，以及它能在邮件进入邮箱之前拦截什么。
网关在邮件系统过滤器之外增加了一层不依赖于邮箱服务商的分析、可适用于多台服务器或多家公司的统一策略，以及可解释的判定结果。
无论是内置过滤器还是前端网关，都无法替代 ANSSI 所提醒的基本习惯：不点击可疑的链接或附件，不回复可疑邮件，通过其他渠道核实，启用双重身份验证。
为了做出判定，网关会读取整封邮件：声明的发件人和发送服务器、身份验证结果（SPF、DKIM、DMARC）、正文、链接和附件。据此做出判定：投递、隔离、拒收，或延迟接收未知发件人。
读取不等于保留。向服务商应该提的正确问题是：哪些内容会被保留，保留多长时间？对 Klytic MTA 而言，答案分为三种情况，另加判定记录。
| 情况 | 保留的内容 | 期限 |
|---|---|---|
| 正常投递 | 用于分析的个人数据（发件人、收件人、主题、正文、附件名称）会被清除。保留时间戳、发件域名、评分和判定结果。 | 默认 2 天后清除，期限可调整 |
| 危险邮件进入隔离区 | 完整邮件，加密保存 | 释放链接的有效期，即 7 天 |
| 邮箱服务器无法连接 | 邮件在队列中以加密形式（AES-256-GCM）保存 | 直至投递成功或超时 |
| 所有判定 | 评分和原因，不含邮件内容 | 技术数据保留用于统计 |
因此，“正常运行时不存储邮件”的意思是：不会对已投递的邮件保留持久副本。这并不等于“零数据”。网关会保留其判定记录，并在几天内保留分析细节。各项保留期限详见保存和查阅电子邮件安全日志。
这一路径依赖于 SMTP 的正常行为：收到临时错误的服务器会保留邮件并重试。不中断地迁移邮件系统指南解释了为何这一机制可以避免在更改 MX 记录期间丢失邮件。
需要。电子邮件攻击不会根据规模来挑选目标。网关是一种无需更换邮件系统即可部署过滤的方式：参见保护您现有的邮件系统。
不会。内置过滤器在网关之后继续工作。服务商说明了如何声明网关，以确保其自身的分析保持准确：参见保护您现有的邮件系统。
分析会增加一个环节。可察觉的延迟是有意为之：未知发件人可能会被短暂延迟接收，从而挡住那些从不重试的自动化发送。
可以。MX 记录继续指向网关，只有投递服务器发生变化。切换流程请参阅不中断地迁移邮件系统。
它在隔离区中，而不是被删除。参见隔离区、误报与举报。
这是邮箱的问题，而不是过滤器的问题。相关内容请参阅云端、专属还是本地部署的邮件系统。
Klytic MTA 就是这样一种网关。它可单独订购，无需 Klytic Mail，并可投递到 Klytic Mail、Microsoft 365、Google Workspace、Exchange 或任何其他邮件服务器。
该服务可部署在 Klytic 云中、专属实例上或您的服务器上。Klytic 云可托管在与适用司法管辖区相对应的任何地理区域，视服务可用性而定，尤其是欧洲或毛里求斯。上线通常需要 24 至 48 小时：Klytic 准备好配置后，由您修改域名的 MX 记录，或由 Klytic 代为修改。
Klytic MTA 不做的事情：它不取代您的邮件系统、账户和权限，也只能看到经过它的邮件。关于 Microsoft 365 和其他邮件系统，请参阅保护您现有的邮件系统。
本页介绍的是通用架构。具体设置取决于您的邮件系统和域名。
查阅于 2026 年 10 月。
