Email inviate senza cifratura TLS (STARTTLS)

Cosa significa

Quando il tuo server consegna un'email a un altro server, i due possono accordarsi per cifrare la connessione. Questo si chiama TLS, e il comando che lo avvia su una normale connessione di posta è STARTTLS.

La tua email è stata consegnata senza cifratura. Chiunque sia in grado di osservare la rete tra i due server potrebbe leggerla.

Perché è importante

• Gmail mostra un lucchetto rosso aperto sulle email ricevute senza cifratura, e questo preoccupa i lettori.
• Gmail e Yahoo si aspettano che chi invia grandi volumi usi TLS.
• Le email contengono spesso informazioni personali o aziendali che non dovrebbero viaggiare in chiaro.
• Delivmail toglie una piccola parte del punteggio per una consegna non cifrata.

Come verificare

• Invia un'email di test: nella home page copia il tuo indirizzo di test unico, inviagli una normale email dalla casella o dallo strumento che vuoi verificare, poi apri il report. La riga "Encryption (TLS)" dice se l'email è arrivata cifrata.
• In Gmail, apri un'email ricevuta, clicca sulla piccola freccia sotto il nome del mittente e guarda la riga "sicurezza".

Come risolvere

Se usi un provider

Google Workspace, Microsoft 365 e tutti gli strumenti di newsletter seri usano TLS in automatico. Se il tuo test non mostra TLS, probabilmente l'email è passata da un altro sistema: un sito web, una stampante, un'applicazione aziendale o un vecchio server di inoltro. Trovalo e fallo inviare invece tramite il tuo provider.

Se gestisci un tuo server di posta

1. Ottieni un certificato per il nome del tuo server, per esempio mail.yourdomain.com. Un certificato gratuito di Let's Encrypt funziona bene.
2. Attiva TLS in uscita. Su Postfix, per esempio:

   smtp_tls_security_level = may
   smtp_tls_loglevel = 1

   L'impostazione may cifra ogni volta che l'altro server lo supporta, cosa che oggi fanno quasi tutti.
3. Attiva anche TLS in entrata, così gli altri possono inviarti posta in modo sicuro:

   smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
   smtpd_tls_key_file = /etc/letsencrypt/live/mail.yourdomain.com/privkey.pem
   smtpd_tls_security_level = may

4. Ricarica il server e controlla nei suoi log le righe che parlano di TLS.
5. Rinnova il certificato in automatico. Un certificato scaduto può impedire la consegna cifrata.

Se invii da un'applicazione

Nelle impostazioni SMTP della tua applicazione, scegli la porta 587 con STARTTLS, oppure la porta 465 con SSL/TLS. Evita la porta 25 senza cifratura. Questo protegge la connessione tra la tua applicazione e il tuo provider; poi è il provider a gestire TLS verso il destinatario.

Verifica che sia risolto

Invia una nuova email di test dalla home page con lo stesso server o strumento. La riga "Encryption (TLS)" dovrebbe dire sì. In Gmail, il lucchetto rosso dovrebbe essere sparito. Se dice ancora no, verifica che l'email sia davvero partita dal server che hai modificato, e cerca nei suoi log errori TLS come un certificato scaduto o non attendibile.