Sicurezza, privacy e GDPR
Cosa protegge la tua posta, da chi, e cosa resta fuori.
Cifratura in transito
Ogni porta a cui si collegano i programmi di posta richiede la cifratura. Un programma configurato senza cifratura non si autentica: il server rifiuta la password prima di riceverla.
- Versioni accettate: TLS 1.2 e TLS 1.3. Le versioni precedenti sono rifiutate.
- IMAP: porta 993 con TLS, oppure 143 con STARTTLS. POP3: porta 995 con TLS, oppure 110 con STARTTLS.
- Invio (SMTP): porta 465 con TLS, oppure 587 con STARTTLS obbligatorio. L'autenticazione è offerta solo sul canale già cifrato.
- Fra server di posta (porta 25): STARTTLS ogni volta che l'altro server lo offre, con le stesse versioni di TLS.
Cifratura a riposo, una chiave per casella
Ogni casella ha una propria coppia di chiavi, conservata cifrata e indipendente dalla password della persona: cambiare o reimpostare una password non rende illeggibile la posta.
Un dump del database, un disco o un archivio di backup, da soli, non aprono nessuna casella.
| Chi dispone di… | Legge la posta? |
|---|---|
| un dump del database, soltanto | No |
| i dischi o gli archivi di backup, soltanto | No |
| le credenziali di una persona | Sì, di quella casella |
Cosa vede il fornitore
Cosa vediamo
- Lo stato dell'impianto e i registri di sistema.
- Gli stessi dati di amministrazione che vedi tu: persone, caselle, quote, esiti di consegna.
Cosa non facciamo
- Usare il contenuto della posta per pubblicità o per fini nostri.
- Addestrare sistemi sulla tua posta, a parte il filtro antispam del tuo dominio.
- Conservare oggetto e testo dei messaggi nel registro delle consegne.
- Mettere nel sito cookie, pixel o script di terzi.
Separazione fra clienti
Il confine fra un'organizzazione e l'altra è imposto dal database, con politiche di sicurezza a livello di riga, ed è sorvegliato da collaudi automatici.
- Chi amministra il tuo dominio vede persone, caselle e quote, non il contenuto delle caselle.
- Per leggere una casella altrui serve una delega, che resta tracciata.
Accesso
- Secondo fattore disponibile su webmail e pannello, con un codice a tempo.
- Password di almeno 12 caratteri, diverse dalle ultime tre.
- Sessioni web che scadono dopo 30 minuti di inattività e comunque dopo 10 ore.
- Una password per applicazione per ogni dispositivo, revocabile una per una: se perdi il telefono, le altre continuano a funzionare.
- Il mittente deve coincidere con la casella autenticata, salvo delega di invio.
Antispam e antivirus
Ogni messaggio passa dal filtro antispam rspamd e dall'antivirus ClamAV, in due istanze: se una non risponde, lavora l'altra. Un messaggio con un virus viene rifiutato. Se il filtro non risponde, la posta non passa senza controllo: viene rimandata e il server mittente la riprova.
Limiti sull'invio impediscono a una casella compromessa di spedire posta indesiderata a tuo nome per ore.
Backup
Un backup al giorno per cliente, cifrato e firmato, conservato fuori sede per sette giorni. La chiave che decifra i backup non sta sull'impianto.
Quando una casella viene rimossa
La chiave viene cancellata insieme alla casella: i messaggi diventano illeggibili per sempre, anche nei backup. Il pannello chiede un consenso esplicito prima di procedere. Per conservare la posta di chi lascia l'organizzazione si sospende la casella: la sospensione non cancella nulla.
Dove stanno i dati
Caselle e backup stanno su server in Germania e in Finlandia, nell'Unione Europea.
GDPR: ruoli e accordo sul trattamento
Per il servizio a pagamento la tua organizzazione è titolare del trattamento dei dati nelle sue caselle; noi ne siamo responsabili del trattamento e li trattiamo per suo conto, secondo le sue istruzioni (art. 28 GDPR).
L'accordo sul trattamento dei dati (DPA) è disponibile su richiesta a privacy@mailpod.app, prima della sottoscrizione.
- Sub-responsabile per i dati delle caselle: Hetzner Online GmbH, Germania, che ospita l'infrastruttura. È lo stesso elenco della pagina sulla privacy.