Inviamo e riceviamo email quasi ogni giorno, pensando raramente a come funziona o se il processo sia sicuro. Tuttavia, scegliere il protocollo email sbagliato può causare problemi che vanno dallo spazio di archiviazione limitato sul tuo computer a violazioni dei dati, alla perdita di fiducia dei clienti o a domini bloccati.
Questa guida spiega come funzionano i protocolli email, illustra la differenza fondamentale tra funzionalità e sicurezza e fornisce una checklist per le PMI.
Un breve glossario sulle email
La terminologia relativa alle email sembra tutta molto simile, ma le distinzioni sono importanti. Ecco di cosa parleremo in questa guida:
Client di posta: l’applicazione software che usi per leggere, scrivere e gestire le tue email, come Outlook, Apple Mail e Proton Mail.
Protocollo email: l’insieme di regole che gestisce il modo in cui le email vengono trasmesse, ricevute e archiviate su Internet. I protocolli fondamentali come SMTP, IMAP e POP3 gestiscono lo spostamento meccanico dei messaggi tra server e client.
Protocollo di sicurezza delle email: un livello protettivo di standard che si sovrappone ai protocolli email principali per garantire la privacy e l’integrità dei dati. Questi includono metodi di crittografia come TLS (per il transito) e S/MIME o PGP (per i contenuti end-to-end), oltre a meccanismi per rilevare malware o spam.
Autenticazione delle email: il processo per verificare che un’email provenga effettivamente dal dominio che dichiara di rappresentare. Si affida al trio composto da SPF, DKIM e DMARC per indicare ai server di ricezione se considerare attendibile, contrassegnare o rifiutare un messaggio, prevenendo lo spoofing e il phishing.
Strumento di email marketing: una piattaforma progettata per creare, inviare e monitorare campagne email di massa, come Mailchimp, HubSpot o SendGrid. Questi strumenti utilizzano l’SMTP per recapitare i messaggi e dipendono fortemente da una corretta autenticazione delle email per garantire tassi di recapito elevati.
I protocolli email spiegati
1. Simple Mail Transfer Protocol (SMTP)
Cos’è: il protocollo standard per inviare email. L’SMTP gestisce il trasferimento dal tuo client di posta al server e tra i server.
Come funziona: il tuo client di posta si connette a un server SMTP, effettua l’autenticazione e consegna il messaggio. Il server poi lo reindirizza al dominio del destinatario. Non è possibile inviare un’email senza SMTP.
Nota sulla sicurezza: l’SMTP standard invia i dati in testo normale. Senza crittografia (STARTTLS), i dati aziendali sensibili possono essere intercettati.
2. Internet Message Access Protocol (IMAP)
Cos’è: lo standard moderno per ricevere e gestire le email. L’IMAP conserva i messaggi sul server e li sincronizza su tutti i tuoi dispositivi.
Come funziona: quando controlli le email sul tuo telefono, laptop o tablet, l’IMAP recupera lo stato più recente dal server centrale. Poiché l’email è archiviata sul server, in caso di smarrimento del portatile la cronologia delle email rimane al sicuro. Allo stesso modo, se elimini un’email su un dispositivo, questa verrà eliminata ovunque.
Nota sulla sicurezza: poiché i dati risiedono sul server, un’autenticazione forte e la crittografia sono imprescindibili.
3. Post Office Protocol v3 (POP3)
Cos’è: un protocollo più datato che scarica le email su un singolo dispositivo e in genere le elimina dal server.
Come funziona: il client di posta si connette, scarica tutti i nuovi messaggi e si disconnette. Il server viene lasciato vuoto. Questo protocollo è raramente consigliato per le aziende moderne; crea silo di dati (se il tuo dispositivo si guasta, la cronologia delle email va persa) e, poiché tutte le email vengono scaricate sul tuo dispositivo, può causare problemi di archiviazione sul tuo computer.
Nota sulla sicurezza: la mancanza di ridondanza lato server lo rende vulnerabile a guasti hardware e furti. Questo protocollo ad alto rischio non è raccomandato, specialmente per le aziende.
Leggi anche: Cosa sono SMTP, IMAP e POP3?
L’SMTP e l’IMAP servono a scopi opposti, ma una configurazione email funzionale richiede entrambi i protocolli. L’SMTP invia i messaggi in uscita, mentre l’IMAP recupera i messaggi in arrivo. La maggior parte dei moderni provider di posta nasconde questa complessità e il software configura automaticamente sia le impostazioni SMTP che quelle IMAP in background. Raramente devi pensare a quale stai utilizzando: il software gestisce semplicemente entrambi contemporaneamente.
Protocolli di sicurezza delle email
I protocolli email spostano e archiviano i messaggi, ma i protocolli di sicurezza delle email sono i sistemi che mantengono al sicuro le email, i mittenti e i destinatari. Rientrano in due categorie: quelli che crittografano i dati per mantenerli privati e quelli che autenticano i mittenti per dimostrarne l’identità.
Protocolli di crittografia
Transport Layer Security (TLS): crittografa la connessione tra i server di posta mentre le email viaggiano su Internet. La maggior parte dei moderni provider di posta impone l’uso di TLS per impostazione predefinita.
STARTTLS: un comando che effettua l’upgrade di una connessione non crittografata esistente a una connessione TLS sicura. Se l’altra parte non lo supporta, la connessione torna al testo normale, il che rappresenta una potenziale vulnerabilità.
Secure/Multipurpose Internet Mail Extensions (S/MIME): fornisce crittografia end-to-end e firme digitali a livello di messaggio. Richiede che sia il mittente che il destinatario si scambino certificati digitali, il che lo rende più comune negli ambienti aziendali.
Pretty Good Privacy (PGP) / GNU Privacy Guard (GPG): un altro metodo di crittografia end-to-end e firma digitale che offre una forte privacy. Invece dei certificati, il PGP utilizza un modello web-of-trust in cui gli utenti si scambiano direttamente le chiavi pubbliche.
Protocolli di autenticazione
Sender Policy Framework (SPF): consente al proprietario di un dominio di pubblicare un elenco di indirizzi IP autorizzati a inviare email per conto di quel dominio. Quando un server di ricezione riceve un messaggio, confronta l’IP del mittente con questo elenco. Se l’IP non è presente, l’email non supera il controllo SPF.
DomainKeys Identified Mail (DKIM): aggiunge una firma crittografica a ogni email in uscita, collegata al dominio di invio. Il server di ricezione verifica questa firma confrontandola con una chiave pubblica pubblicata nei record DNS del mittente.
Domain-based Message Authentication, Reporting, and Conformance (DMARC): unisce SPF e DKIM e offre ai proprietari di domini il controllo su cosa accade quando l’autenticazione fallisce. Tramite una Policy DMARC, puoi indicare ai server di ricezione di accettare, mettere in quarantena o rifiutare i messaggi non superati, e ricevi report che mostrano chi sta tentando di inviare email non autorizzate dal tuo dominio.
Perché questo è importante per le PMI
Senza protocolli di sicurezza sovrapposti ai tuoi protocolli principali, corri il rischio di:
- Spoofing: i malintenzionati possono facilmente impersonare il tuo dominio per truffare i tuoi clienti
- Intercettazione: il traffico non crittografato consente agli hacker di leggere le email in transito
- Inserimento in blacklist: un’autenticazione insufficiente fa sì che il tuo dominio venga contrassegnato come spam
Insieme, questi protocolli di sicurezza delle email creano una difesa a più livelli: la crittografia tiene gli occhi indiscreti lontani dal contenuto, mentre l’autenticazione garantisce che l’email provenga effettivamente da chi dichiara di averla inviata.
In che modo i protocolli influiscono sul successo dell’email marketing
Per le PMI, l’email marketing introduce una complicazione: potresti non essere tu a inviare le email. Il fatto che utilizzi uno strumento di marketing o gestisca le campagne autonomamente determina ciò che sei responsabile di proteggere.
Se utilizzi uno strumento di marketing
Piattaforme come Mailchimp, HubSpot e SendGrid gestiscono l’infrastruttura di invio, inclusi i server SMTP e la crittografia. Ma non possono autenticare il tuo dominio per tuo conto. Quella parte spetta a te.
Quando uno strumento di marketing invia un’email utilizzando il tuo dominio, ad esempio newsletter@tuaazienda.com, il server del destinatario controlla comunque i record di autenticazione del tuo dominio:
- SPF: deve includere gli IP di invio dello strumento di marketing, in modo che il server del destinatario sappia che sono autorizzati a inviare per tuo conto.
- DKIM: lo strumento di marketing firma l’email con una chiave crittografica, mas devi pubblicare la chiave pubblica corrispondente nei tuoi record DNS affinché il destinatario possa verificarla.
- DMARC: indica ai server di ricezione cosa fare se SPF o DKIM falliscono, e ti invia report in modo che tu possa monitorare l’uso non autorizzato del tuo dominio.
La maggior parte degli strumenti di marketing affidabili ti guida attraverso questa configurazione DNS durante l’onboarding. Se il tuo non lo fa, è un campanello d’allarme.
Se gestisci autonomamente la tua campagna
L’invio di email di massa dal tuo server SMTP personale attribuisce a te l’intera responsabilità. Devi:
- Configurare il tuo server SMTP per utilizzare TLS/STARTTLS per la trasmissione crittografata
- Configurare i record SPF, DKIM e DMARC per il tuo dominio
- Monitorare la tua reputazione di mittente: i server SMTP condivisi o gestiti male sono una via comune per finire in blacklist
- Iniziare con un volume di invio ridotto e aumentarlo lentamente nel tempo per creare fiducia con i provider della posta in arrivo
Questo approccio ti offre un maggiore controllo, ma richiede molte più competenze tecniche e una manutenzione costante. Per la maggior parte delle PMI, uno strumento di marketing affidabile è la strada più sicura e semplice.
Proprietà dei dati e continuità aziendale
Per una PMI, l’email non è solo comunicazione; è un registro di transazioni, accordi e relazioni con i clienti.
La trappola del POP3: se il tuo team utilizza il POP3 e il portatile di un dipendente si guasta, potresti perdere definitivamente anni di corrispondenza perché i dati non sono mai stati salvati sul server.
Il vantaggio dell’IMAP: conservando le email sul server, garantisci che i dati sopravvivano ai guasti hardware e al turnover dei dipendenti. Consente inoltre agli amministratori di archiviare e cercare le comunicazioni per gli audit di conformità.
Anche se il POP3 sembra più economico o semplice, il rischio di perdere dati aziendali critici rende l’IMAP l’opzione più sicura per un’azienda in crescita.
Una checklist sulla sicurezza dei protocolli email per le PMI
Vuoi mettere in sicurezza la tua infrastruttura email? Segui questa guida dettagliata:
- Verifica la tua configurazione attuale:
- Stai utilizzando TLS/STARTTLS per tutte le connessioni? (Controlla le impostazioni del tuo provider).
- Utilizzi ancora il POP3? In tal caso, pianifica immediatamente una migrazione all’IMAP.
- Implementa i record di autenticazione:
- Accedi al tuo provider DNS.
- Aggiungi il tuo record SPF (includi tutti gli IP di invio autorizzati).
- Genera e pubblica la tua chiave DKIM.
- Configura una Policy DMARC (inizia con il monitoraggio).
- Metti in sicurezza il tuo stack di marketing:
- Assicurati che la tua piattaforma di email marketing sia configurata per inviare tramite il tuo dominio email personalizzato, non un sottodominio generico.
- Verifica che il tuo dominio superi tutti e tre i controlli di autenticazione prima di inviare campagne di massa.
- Testa e monitora:
- Invia email di prova a Gmail, Outlook e Yahoo.
- Visualizza le intestazioni delle email per confermare l’avvenuta autenticazione.
- Abbonati ai report aggregati DMARC per monitorare l’utilizzo non autorizzato.
Non aspettare una violazione o un inserimento in blacklist per verificare la tua infrastruttura email. Inizia con la checklist qui sopra e costruisci un sistema che supporti la crescita della tua azienda in modo sicuro.
Hai bisogno di aiuto per implementare la crittografia end-to-end o per mettere in sicurezza l’email aziendale? Esplora le soluzioni aziendali di Proton per una privacy e una sicurezza di livello enterprise.
