סקירת אבטחת הפלטפורמה של TrekMail

TrekMail מאבטחת את החשבון ואת נתוני הדוא״ל בעזרת אמצעי הגנה מקובלים בפלטפורמה. סקירה זו מסבירה את אמצעי הבקרה שאפשר לראות במוצר.

אמצעי אבטחה בניהולכם

• אימות דוא״ל: חשבונות חדשים מאמתים את כתובת הדוא״ל שלהם. השליחה אינה זמינה עד להשלמת דרישת האימות של החשבון. שינוי כתובת הדוא״ל בחשבון מפעיל מחדש את האימות.
• אימות דו-שלבי (TOTP) לכניסה לחשבון.
• גישה מבוססת תפקידים באמצעות בעלות על החשבון והרשאות מנהל, כאשר הן זמינות.
• מדיניות סיסמאות ותהליכי ניהול סיסמאות לחשבונות ולתיבות דואר, כולל הפורטל לשינוי סיסמת תיבה.
• אסימוני API עם טווחי הרשאה, מגבלות דומיין ותאריכי תפוגה הניתנים להגדרה. העתיקו אסימון חדש כשהוא מוצג ושמרו עליו בסוד.
• סיסמאות למכשירי Drive (סנכרון): השתמשו בסיסמה נפרדת ומוגבלת לכל יישום או מכשיר סנכרון. צרו אותה תחת Drive → Sync devices בלוח הבקרה או ב-webmail. תנו לה שם, בחרו הרשאות והגדירו תפוגה אופציונלית. מנהלים יכולים ליצור סיסמאות לכל החשבון; משתמשי תיבות יכולים ליצור ב-webmail סיסמאות לתיבה שלהם בלבד. ביטול סיסמה אחת משאיר מכשירים אחרים מחוברים. סיסמה חדשה מוצגת רק בעת יצירתה. מנהלים יכולים לראות ולבטל מכשירים משני הממשקים. ראו סנכרון מכשירים למחזור החיים המלא.
• יומן ביקורת API מסייע למנהלים לסקור פעילות API ולחקור שינויים בלתי צפויים.

הצפנת נתונים

• סודות מוגנים: פרטי גישה רגישים ש-TrekMail חייבת לשחזר לצורך פעולה, כגון אסימונים מסוימים של ספקים או פרטי גישה להעברה, נשמרים בהצפנת יישום. סיסמאות המשמשות רק לאימות נשמרות כגיבוב חד-כיווני.
• תחזוקת אבטחה: TrekMail מתחזקת את ההגנות על נתונים שמורים בלי לדרוש הגדרה מחדש של החשבון.
• רשומות ציות: רשומות חיוב וניהול מוגבלות עשויות להישמר בעת מחיקת חשבון. ראו פרטיות ושמירת נתונים למדיניות החלה.
• הגנת סיסמאות: הסיסמאות מוגנות ואינן מוצגות שוב לאחר יצירה או שינוי. השתמשו בתהליך השינוי או האיפוס הזמין אם נדרשת סיסמה חדשה.

שיטות תפעול

• TLS נדרש עבור נתיבי החיבור של IMAP ו-SMTP המוצגים תחת Apps & devices. השתמשו במארח, ביציאה ובשיטת TLS המדויקים המוצגים עבור התיבה או המותג, במקום להעתיק ערכים ממדריך ישן.
• אימות DNS ‏(SPF, DKIM, DMARC) נדרש לשליחה כדי להגן על זהות הדומיין.
• כתובות דוא״ל חד-פעמיות וזמניות נחסמות בהרשמה כדי למנוע שימוש לרעה.
• דוא״ל נכנס נבדק במספר אמצעי ספאם ובטיחות, כולל הגנה מפני קבצים מצורפים מסוכנים.
• מגבלות קצב ובקרות נגד שימוש לרעה מגנות על הכניסה הציבורית ועל שירותי הדואר.
• בקרות אבטחת דפדפן מסייעות להגן על לוח הבקרה ועל webmail.
• תיבות מושבתות או מושהות אינן משתתפות במסירת דואר. TrekMail אינה מקבלת או מנתבת דואר לתיבה שאינה פעילה.
• דואר יוצא מנוטר לפי תיבה. אם הדואר שיוצא מתיבה מצביע על סיסמה גנובה, TrekMail יכולה לעצור את השליחה מאותה תיבה בלי להפריע לתיבות אחרות בחשבון. שנו את הסיסמה ופנו לתמיכה לבחינת שחזור השליחה. ראו אבטחת תיבת דואר.
• יחסי תלות פגיעים נחסמים בזמן הפריסה באמצעות בדיקות ביקורת אוטומטיות.

חוקרים עצמאיים יכולים לקרוא את מדיניות חשיפת האבטחה והפגיעויות לפני בדיקה או דיווח על בעיה. חוקרים שדיווחים תקפים שלהם מסייעים להגן על TrekMail עשויים לקבל הכרה בהיכל התהילה של האבטחה.

אבטחת API ו-MCP

• אסימוני API משתמשים באימות bearer דרך HTTPS. שמרו את האסימון בסוד ובטלו אותו אם אתם חושדים שנחשף.
• טווחי הרשאה מגבילים את הפעולות של כל אסימון. מגבלות דומיין מצמצמות את הדומיינים שאליהם הוא יכול לגשת.
• מחיקת תיבת דואר דורשת תהליך דו-שלבי של כוונה ואישור שתוקפו פג לאחר 10 דקות.
• שרת MCP משבית פעולות הרסניות כברירת מחדל. כלי מחיקה דורשים הסכמה מפורשת.
• הגדרות חיבור ובקשות העברה מאומתות לפני השימוש.
• מנהלים יכולים לסקור פעילות API תחת AI Agents & API → Audit Log.
• מגבלות בקשות מסייעות להגן על נתוני תיבות מפני איסוף אוטומטי.

תיקונים מהירים ופתרון בעיות

• הפעילו 2FA לכל המנהלים כדי להפחית את הסיכון להשתלטות על חשבון.
• שמרו על רשומות DNS עדכניות כדי למנוע התחזות ובעיות במסירה.
• בטלו מיד אסימוני API אם אתם חושדים שנפרצו.
• סקרו את יומן ביקורת API בקביעות כדי לזהות פעילות בלתי צפויה.
• דווחו על פעילות חשודה דרך מרכז התמיכה בצירוף זמנים וחשבונות מושפעים.