Безопасность, конфиденциальность и GDPR
Что защищает вашу почту, от кого, и что остаётся за рамками.
Шифрование при передаче
Каждый порт, к которому подключаются почтовые программы, требует шифрования. Программа, настроенная без шифрования, не пройдёт аутентификацию: сервер отклоняет пароль ещё до его получения.
- Допустимые версии: TLS 1.2 и TLS 1.3. Более ранние версии отклоняются.
- IMAP: порт 993 с TLS или 143 со STARTTLS. POP3: порт 995 с TLS или 110 со STARTTLS.
- Отправка (SMTP): порт 465 с TLS или 587 с обязательным STARTTLS. Аутентификация предлагается только по уже зашифрованному каналу.
- Между почтовыми серверами (порт 25): STARTTLS всякий раз, когда другой сервер его предлагает, с теми же версиями TLS.
Шифрование при хранении, свой ключ для каждого ящика
У каждого ящика своя пара ключей, хранящаяся в зашифрованном виде и не зависящая от пароля человека: смена или сброс пароля не делает почту нечитаемой.
Дамп базы данных, диск или архив резервной копии сами по себе не откроют ни один ящик.
| Тот, у кого есть… | Читает почту? |
|---|---|
| только дамп базы данных | Нет |
| только диски или архивы резервных копий | Нет |
| учётные данные одного человека | Да, этот ящик |
Что видит провайдер
Что мы видим
- Состояние системы и системные журналы.
- Те же данные администрирования, что и вы: люди, ящики, квоты, результаты доставки.
Чего мы не делаем
- Не используем содержимое вашей почты для рекламы или собственных целей.
- Не обучаем системы на вашей почте, кроме спам-фильтра вашего домена.
- Не храним тему и текст писем в журнале доставки.
- Не размещаем на сайте сторонние cookie, пиксели или скрипты.
Разделение клиентов
Границу между организациями обеспечивает база данных с политиками безопасности на уровне строк, за ней следят автоматические тесты.
- Администратор вашего домена видит людей, ящики и квоты, но не содержимое ящиков.
- Чтобы читать чужой ящик, нужно делегирование, которое остаётся в журнале.
Доступ
- Второй фактор доступен для веб-почты и панели, с временным кодом.
- Пароли не короче 12 символов, отличные от трёх последних.
- Веб-сессии истекают после 30 минут бездействия и в любом случае через 10 часов.
- Один пароль приложения на устройство, отзываемый по одному: потеряли телефон — остальные продолжают работать.
- Отправитель должен совпадать с аутентифицированным ящиком, если нет делегирования на отправку.
Антиспам и антивирус
Каждое письмо проходит антиспам-фильтр rspamd и антивирус ClamAV в двух экземплярах: если один не отвечает, работает другой. Письмо с вирусом отклоняется. Если фильтр не отвечает, почта не проходит без проверки: доставка откладывается, и сервер отправителя повторяет попытку.
Лимиты отправки не дают скомпрометированному ящику часами рассылать спам от вашего имени.
Резервные копии
Одна копия в день на клиента, зашифрованная и подписанная, хранится вне площадки семь дней. Ключ, расшифровывающий копии, в системе не хранится.
Когда ящик удаляется
Ключ удаляется вместе с ящиком: письма становятся нечитаемыми навсегда, в том числе в резервных копиях. Панель запрашивает явное согласие перед удалением. Чтобы сохранить почту уходящего сотрудника, ящик приостанавливают: приостановка ничего не удаляет.
Где находятся данные
Ящики и резервные копии находятся на серверах в Германии и Финляндии, в Европейском союзе.
GDPR: роли и соглашение об обработке данных
В платном сервисе ваша организация является контролёром данных в своих ящиках; мы — обработчик: обрабатываем эти данные от её имени и по её указаниям (ст. 28 GDPR).
Соглашение об обработке данных (DPA) предоставляется по запросу на privacy@mailpod.app до подписания договора.
- Субобработчик данных ящиков: Hetzner Online GmbH, Германия, где размещена инфраструктура. Это тот же список, что и на странице о конфиденциальности.