Nel 2026, proteggere l'email aziendale richiede di applicare controlli coerenti alle caselle dell'organizzazione. Una o due misure rimandate possono facilitare la compromissione di un account, anche se le cause variano. Gli otto controlli seguenti riducono rischi specifici degli account con dominio personalizzato, senza coprire tutti gli attacchi né garantire l'assenza di incidenti. Servono anche privilegi minimi, formazione, protezione dei dispositivi e backup.
Alcune guide si limitano a tre o quattro controlli e trascurano altri aspetti. Recupero degli account, alias e conservazione dei messaggi meritano attenzione: le loro carenze possono avere conseguenze importanti. Esaminare tutti gli otto punti dall'attivazione aiuta a decidere cosa richiedere e cosa monitorare in base ai rischi.
Questa guida presenta otto controlli e i rischi che aiutano a ridurre. Per un quadro più ampio, consulta l'account email aziendale.
Cosa protegge la sicurezza dell'email aziendale
La sicurezza dell'email riguarda tre categorie di risorse. L'accesso all'account: poter accedere e limitare gli ingressi non autorizzati. La reputazione del mittente: uno dei fattori che influenzano l'arrivo nella posta in ingresso. E i messaggi storici: dati che potrebbero servire per obblighi legali o verifiche. Ogni categoria presenta minacce e misure diverse.
Gli otto controlli affrontano queste tre categorie. I primi tre riguardano l'accesso; dal quarto al sesto, l'autenticazione e il monitoraggio degli invii; gli ultimi due, l'operatività e la conservazione. Trascurare una categoria lascia rischi irrisolti. La valutazione complessiva aiuta, ma non sostituisce una strategia adeguata all'organizzazione.
Gli otto controlli in sintesi
Questi otto controlli sono un punto di partenza per l'email aziendale con dominio personalizzato nel 2026. La tabella riassume i rischi che aiutano a ridurre e tempi indicativi di preparazione o verifica. Le funzioni disponibili dipendono dal fornitore: non è un elenco completo né una promessa di prevenzione.
| Controllo | Rischio ridotto | Tempo indicativo |
|---|---|---|
| 1. 2FA con chiave fisica per amministratori | Phishing delle credenziali amministrative | 30 min + $25 per la chiave, esempio storico |
| 2. Protezione dei metodi di recupero | Abuso del recupero dell'account | 15 min |
| 3. Password per app distinte per dispositivo | Uso delle credenziali di un dispositivo perso | 5 min per dispositivo |
| 4. Piano di rotazione DKIM | Uso prolungato di una chiave esposta | Verificare la procedura del fornitore |
| 5. Verifica trimestrale SPF | Troppe consultazioni DNS e mittenti non autorizzati | 5 min/trimestre |
| 6. Esame dei report DMARC | Falsificazioni e problemi di autenticazione non rilevati | 10 min/mese |
| 7. Verifica delle destinazioni degli alias | Alias diretti a caselle disattivate | 30 min/anno |
| 8. Politica di conservazione documentata | Mancanza di criteri davanti a richieste legali | 30 min iniziali |
Il totale di 90 minuti è un riferimento di pianificazione, cui si aggiungono verifiche trimestrali e annuali. Queste misure aiutano organizzazioni piccole e medie, ma il loro ambito dipende dall'ambiente. Strutture maggiori possono richiedere monitoraggio SOC e integrazione SIEM; anche quelle piccole devono valutare controlli aggiuntivi.
Controllo 1: 2FA con chiave fisica per amministratori
Proteggere l'amministratore con 2FA è prioritario per l'ampiezza dei suoi permessi. Le chiavi FIDO/WebAuthn, tra cui alcuni modelli YubiKey e Google Titan, offrono resistenza al phishing quando il servizio supporta quel metodo. I $25 sono un prezzo storico illustrativo, non un preventivo attuale. Una chiave non rende invulnerabile l'account. La 2FA tramite TOTP in un'app è meglio dell'assenza di MFA e può essere una soluzione provvisoria per amministratori quando il fornitore non supporta chiavi fisiche.
Se il fornitore lo consente, registra la chiave nelle impostazioni di sicurezza, provala e conserva una chiave di riserva in un altro luogo sicuro. TrekMail supporta attualmente TOTP e codici di recupero; non dare per scontata la registrazione di chiavi fisiche e verifica i metodi disponibili. La 2FA resistente al phishing riduce determinati attacchi alle credenziali, ma da sola non protegge tutte le sessioni, tutti i dispositivi o gli accessi API.
Controllo 2: proteggere i metodi di recupero
Un indirizzo di recupero compromesso può aprire una strada verso l'account principale. Usa un indirizzo indipendente, con password unica, 2FA compatibile e metodi di recupero protetti. Un altro fornitore può ridurre le dipendenze comuni. Non deve essere a pagamento: anche un account gratuito Gmail o Outlook.com può essere protetto adeguatamente.
Separare i fornitori riduce il rischio che un guasto impedisca contemporaneamente l'accesso alla posta principale e a quella di recupero. Se entrambe dipendono dallo stesso servizio, un'interruzione può bloccarle insieme. Un fornitore diverso non garantisce comunque disponibilità. Verifica procedure di recupero ed eventuali costi, senza presumere che la misura sia gratuita in ogni ambiente.
Controllo 3: password per app distinte per dispositivo
Quando fornitore e client lo consentono, una password per app distinta per dispositivo permette di revocare un accesso senza cambiare la password principale. Può riguardare iPhone Mail, Outlook su computer o Gmail su Android, secondo l'autenticazione disponibile. Se perdi o vendi il dispositivo, revoca quella credenziale e controlla anche sessioni e altri token. La revoca non cancella i messaggi memorizzati sul dispositivo.
Una persona con tre dispositivi può avere tre credenziali indipendenti se il servizio offre questa funzione. Lo stesso vale per telefono, portatile e tablet. Verifica se il pannello elenca le credenziali e permette di revocarle singolarmente. In TrekMail, le password per app di Drive sono una funzione distinta; non presumere che siano disponibili anche per IMAP o SMTP. Evitare una password comune aiuta, ma occorre proteggere anche dispositivi e dati.
Controllo 4: pianificare la rotazione delle chiavi DKIM
La rotazione DKIM può limitare l'uso di una chiave esposta, senza impedirne la compromissione. Un intervallo di 6-12 mesi è una proposta di pianificazione, non un requisito universale né una scadenza delle chiavi. TrekMail dispone di un flusso esplicito di gestione dei selettori e rotazione; non va presunta una rotazione periodica automatica. Su server propri, definisci una procedura collaudata e una verifica trimestrale secondo la tua politica di rischio.
Le chiavi private DKIM sono segreti persistenti nell'infrastruttura di invio e, talvolta, nei backup. Un'intrusione può esporre la chiave corrente; sostituirla fa parte della risposta insieme all'indagine e al contenimento dell'incidente. In una rotazione pianificata, pubblica la nuova chiave e conserva le precedenti chiavi pubbliche durante il transito dei messaggi e la permanenza nelle cache prima di rimuoverle. Una sospetta compromissione richiede risposta tempestiva e revoca secondo l'incidente, senza prolungare la validità per abitudine. Consulta la configurazione DKIM.
Controllo 5: verifica trimestrale SPF
Una verifica trimestrale SPF aiuta a individuare mittenti mancanti e consultazioni accumulate. Con piattaforme marketing, invii transazionali e CRM, le inclusioni tendono a crescere. Il limite di 10 riguarda i termini valutati che generano consultazioni DNS, comprese le valutazioni annidate di include e redirect. Superarlo produce permerror; accettazione, rifiuto o classificazione dipendono dal destinatario, senza implicare necessariamente rifiuti silenziosi.
I 5 minuti sono una stima per un ambiente semplice: elenca i mittenti attivi, confrontali con SPF e rimuovi autorizzazioni non più pertinenti. Consolida le inclusioni solo se comprendi l'ambito dell'autorizzazione. Un record con il 70% di inclusioni obsolete è un esempio ipotetico, non una statistica di mercato. Prova il risultato per non eliminare mittenti legittimi.
Controllo 6: esaminare i report DMARC
I report aggregati DMARC aiutano a rilevare possibili falsificazioni e cambiamenti nell'autenticazione. Riflettono i destinatari che inviano report, non tutti gli IP né tutti gli attacchi. Mostrano esiti SPF e DKIM e allineamento: il dominio visibile di From deve allinearsi con quello del mittente di busta autenticato tramite SPF oppure con il dominio di una firma DKIM valida. La verifica può evidenziare mittenti legittimi configurati male.
I report vengono richiesti mediante l'indirizzo rua= nel record DMARC. Configura una casella o un servizio di analisi adeguato e le autorizzazioni necessarie per destinazioni esterne. I 10 minuti mensili sono indicativi: un volume maggiore richiede più lavoro. Esaminare i report aiuta a indagare i problemi, senza garantire la prevenzione né la ricezione di dati da tutti i destinatari.
Controllo 7: verificare le destinazioni degli alias
Verificare gli alias aiuta a evitare che la posta dei clienti venga indirizzata a caselle disattivate. Alias come support@, sales@ e billing@ puntano a destinazioni reali. Quando qualcuno lascia il team e la sua casella viene disattivata, il comportamento dipende dalla configurazione: sono possibili rifiuto, conservazione o scarto. Non va presunta una perdita silenziosa sistematica.
I 30 minuti annuali sono un riferimento: elenca gli alias attivi, verifica le destinazioni e correggi quelle che lo richiedono. Fallo anche quando cambiano persone o caselle, non soltanto nella revisione annuale. Monitorare gli errori aiuta a rilevare problemi prima che si accumulino richieste senza risposta. Consulta l'email sicura per aziende.
Controllo 8: documentare la conservazione dei messaggi
Una politica di conservazione definisce criteri per mantenere ed eliminare i messaggi. Finanza e questioni legali per 7 anni, operatività per 3-5 anni e marketing per 1 anno sono esempi, non termini legali universali. Vanno adattati alla giurisdizione, ai contratti, alla privacy e agli obblighi di conservazione legati ai procedimenti. Senza documentazione, i criteri possono variare tra caselle.
I 30 minuti iniziali servono per una prima bozza, non garantiscono preparazione a una verifica futura. Applica la politica con strumenti adeguati e verificabili. TrekMail Pro a $10/mese prevede 10 regole per casella; Agency a $29/mese aggiunge modifica diretta di Sieve, secondo le condizioni attuali. Sieve filtra i messaggi in ingresso: non equivale a cancellazione retroattiva in base al tempo trascorso dalla ricezione, archivio immutabile o conservazione legale. Consulta l'indirizzo email professionale.
Prossimi passi
Questi otto controlli offrono una base per ridurre i rischi nelle organizzazioni piccole e medie: 2FA compatibile, recupero protetto, credenziali per dispositivo quando disponibili, rotazione DKIM pianificata, verifica SPF, report DMARC, revisione degli alias e politica di conservazione. I 90 minuti sono indicativi e le verifiche devono proseguire. Adatta le misure ai rischi senza considerarle una difesa contro tutti gli attacchi.
Consulta Nano su trekmail.net/pricing e verifica le condizioni attuali di gratuità e registrazione senza carta. Nano richiede SMTP proprio per tutti gli invii e le risposte. Non presumere rotazione periodica automatica DKIM in alcun piano. Pro a $10/mese offre regole relative al controllo 8, senza garantire conservazione normativa dei messaggi già archiviati. Confronta le protezioni effettive con quelle di un'installazione propria ben configurata, senza presumere superiorità automatica.
