Email sicura per aziende: protezione minima (2026)

La casella email non è soltanto il luogo in cui si lavora, ma la chiave universale per tutto il resto. Reimpostare la password della banca? Email. Reimpostare il CRM? Email. Recuperare l'account dell'infrastruttura cloud? Email. Se un attaccante controlla una casella, può arrivare a controllare l'intera azienda.

La cattiva notizia è che, nella maggior parte delle aziende che usano email aziendale, almeno metà delle impostazioni riportate di seguito è configurata male o manca del tutto. La buona notizia è che correggerle non richiede un team di sicurezza né un contratto enterprise da $50,000. Servono circa due ore e la volontà di occuparsene davvero.

Questa è la configurazione di base. Non un obiettivo ideale per il futuro, ma il minimo. Se non puoi spuntare tutte le voci dell'elenco, rimangono rischi da affrontare.

Come vengono realmente compromesse le aziende

Dimentica gli attaccanti sponsorizzati da Stati e gli exploit zero-day. A meno che tu non lavori su materiale classificato, è improbabile che qualcuno impieghi contro di te un attacco sofisticato e costoso. I tre rischi all'origine del 90% degli incidenti email nelle PMI sono molto più comuni.

Credential stuffing: gli attaccanti acquistano database di password trapelati, come LinkedIn 2012, Adobe 2013 e molte delle violazioni successive, quindi eseguono script contro il tuo server di posta. Se una password ancora in uso compare in uno di quei dump, possono accedere senza dover violare tecnicamente il sistema.

Regole di inoltro invisibili: dopo l'accesso, un attaccante esperto non saccheggia subito l'account. Crea una regola discreta: «Se l'oggetto contiene "fattura" o "bonifico", invia una copia ad attacker@gmail.com e segna come letto». Poi osserva per mesi. Quando te ne accorgi, potrebbe aver già intercettato un pagamento.

Spoofing: qualcuno scrive al tuo contabile da ceo@yourcompany.com chiedendo un bonifico urgente. Il messaggio sembra autentico. Se il DNS non è configurato correttamente, il server ricevente può non avere elementi sufficienti per riconoscere la falsificazione e potrebbe non segnalarla.

Tutti e tre questi attacchi possono essere contrastati. Ecco come.

Email sicura per le aziende: configurazione di base per gli account

Questo è il tuo perimetro. Se questo livello cede, la configurazione DNS da sola non può proteggerti.

1. Imponi un'MFA resistente al phishing, senza eccezioni

Le password da sole non garantiscono sicurezza. Servono a identificare chi conosce una sequenza di caratteri, non a dimostrare che si tratti davvero del dipendente autorizzato. L'autenticazione a più fattori aggiunge una verifica ulteriore.

Usa un'app di autenticazione, come Google Authenticator, Microsoft Authenticator o Authy, oppure una chiave hardware come YubiKey. Entrambe sono valide. Non usare invece la 2FA via SMS come metodo principale: funziona, ma è vulnerabile agli attacchi di SIM swapping, nei quali l'attaccante convince l'operatore a trasferire il numero sul proprio dispositivo. Riservala al recupero, se necessario.

Imponi l'MFA a livello amministrativo. Non renderla facoltativa. Un solo utente che non la abilita può diventare l'anello più debole.

TrekMail supporta la 2FA su tutti gli account amministrativi. Abilitala nelle impostazioni di sicurezza dell'account. La procedura completa è disponibile nella guida all'autenticazione a due fattori.

2. Disabilita subito l'autenticazione legacy

È una delle vulnerabilità più trascurate nel 2026. Per «autenticazione legacy» si intendono protocolli come SMTP AUTH di base che non supportano i moderni flussi MFA. Richiedono soltanto nome utente e password.

Il problema è questo: anche se hai abilitato la 2FA su ogni account, un attaccante potrebbe aggirarla collegandosi tramite un protocollo legacy ancora consentito. La nuova configurazione MFA non serve con un client che non richiede mai il secondo fattore.

Blocca l'autenticazione legacy in tutta l'organizzazione. L'unica eccezione può riguardare una stampante, uno scanner o un dispositivo datato che deve inviare email: isolalo. Assegnagli un account di servizio dedicato con una password lunga, complessa e sostituita periodicamente. Non lasciare esposti gli account degli utenti ai protocolli legacy soltanto perché la fotocopiatrice deve inviare scansioni via email.

Nota: TrekMail non supporta intenzionalmente POP3. È una scelta architetturale volta a evitare l'archiviazione esclusivamente locale, che può diventare irrecuperabile se si perde un dispositivo. IMAP è supportato ed è richiesto per tutte le connessioni dei client.

3. Niente credenziali condivise

L'account info@company.com, usato da tre persone che si comunicano la password per messaggio, non è un inconveniente trascurabile. È un incidente di sicurezza in attesa di accadere. Quando qualcuno lascia l'azienda, cambiate la password? Spesso no. Sapete chi ha effettuato l'ultimo accesso? No.

La soluzione è l'accesso delegato o una casella condivisa: ogni utente si autentica con le proprie credenziali e ottiene accesso alla cartella condivisa. In questo modo resta una traccia di controllo completa, l'accesso può essere revocato singolarmente e non occorre condividere password.

Il modello tariffario per utente ostacola attivamente questa pratica. Quando ogni utenza costa $15-$30 al mese, i team iniziano a condividere credenziali per risparmiare. Il modello a tariffa fissa di TrekMail, basato sullo spazio condiviso e non sul numero di utenze, mantiene lo stesso prezzo con 5 o 50 utenti. Assegna un account a ciascuno. Non condividere password per risparmiare $6 al mese.

Amministrazione e controllo degli accessi

L'account di emergenza

Se il telefono finisce in mare o il provider di identità principale subisce un'interruzione, serve un modo per rientrare che non dipenda proprio dal sistema guasto. Crea un solo account amministrativo di recupero esclusivamente cloud, per esempio admin-recovery@yourdomain.com, con una password casuale di 30 caratteri. Scrivila su carta e conserva il foglio in una cassaforte fisica.

Configura quindi un avviso: se questo account effettua un accesso, tutti gli altri amministratori devono ricevere subito una notifica. Non dovrebbe essere usato quasi mai. Un accesso inatteso è un segnale da verificare immediatamente.

Separazione dei compiti

L'account email quotidiano, quello usato per navigare, aprire link e leggere newsletter, non dovrebbe avere privilegi di amministratore globale. Se apri un link di phishing mentre sei autenticato come super amministratore, puoi consegnare all'attaccante l'accesso a tutto.

Crea un account amministrativo distinto. Accedi solo quando devi cambiare le impostazioni. Per tutto il resto, lavora come utente standard. Non è paranoia, ma una pratica operativa di base che qualunque amministratore di sistema consiglierebbe fin dal primo giorno.

Email sicura per le aziende: autenticità della posta (SPF, DKIM, DMARC)

Questi tre record DNS sono i meccanismi tecnici che contrastano lo spoofing. Dal 2024 Google e Yahoo li richiedono ai mittenti di grandi volumi e sono sempre più attesi per tutta la posta aziendale. Se non li hai configurati, è il momento di farlo.

Per approfondire ogni livello, la guida alla configurazione del dominio email descrive l'intera sequenza di implementazione.

SPF, l'elenco dei mittenti autorizzati

Sender Policy Framework è un record DNS TXT che elenca esplicitamente gli indirizzi IP autorizzati a inviare email per il tuo dominio. Un server che non compare nell'elenco non supera il controllo.

v=spf1 include:_spf.trekmail.net -all

Qui devi curare due aspetti:

Primo, termina con -all, hard fail, e non con ~all, soft fail. Il soft fail comunica: «Non sono certo di chi invii la mia posta, quindi valuta se accettarla». Non è una politica sufficientemente restrittiva. Usa l'hard fail dopo aver verificato tutti i mittenti legittimi.

Secondo, SPF prevede un limite di 10 ricerche DNS. Se includi nello stesso record Google Workspace, Mailchimp, Salesforce e Zendesk, potresti superarlo e provocare un errore SPF difficile da rilevare. Se gestisci numerosi servizi di invio, usa con cautela uno strumento di flattening SPF e verifica il risultato.

DKIM, il sigillo che rivela le modifiche

DomainKeys Identified Mail aggiunge una firma crittografica a ogni messaggio in uscita. Il server di posta, che conserva la chiave privata, firma l'email; il server del destinatario la verifica tramite la chiave pubblica che hai pubblicato nel DNS.

Serve anche se usi SPF perché l'inoltro può interrompere l'allineamento SPF. Quando un messaggio viene inoltrato, l'IP di invio cambia e SPF può fallire. La firma DKIM viaggia nelle intestazioni e può restare valida dopo l'inoltro. Sono necessari entrambi.

TrekMail gestisce automaticamente la generazione e la rotazione delle chiavi DKIM nei piani a pagamento. La chiave pubblica viene pubblicata nel DNS e ogni messaggio in uscita viene firmato, senza configurazione manuale. La guida ai record DNS richiesti mostra esattamente cosa viene aggiunto e dove.

DMARC, il livello di applicazione delle regole

DMARC indica ai server riceventi che cosa fare quando SPF o DKIM non soddisfano i requisiti di autenticazione e allineamento. Invia inoltre rapporti sulle fonti che usano il tuo dominio, utili per scoprire che un vecchio strumento di marketing sta ancora inviando per tuo conto.

Inizia in modalità di monitoraggio. Non saltare questa fase.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Questo record dice: «Indicami chi invia a mio nome, ma non bloccare ancora nulla». Raccogli i rapporti per un periodo compreso tra due e quattro settimane. Esamina ogni fonte di invio. Passa all'applicazione delle regole solo dopo aver verificato che tutti i mittenti legittimi superino l'autenticazione:

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com

Infine:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

Se passi subito a p=reject senza una verifica preliminare, potresti bloccare le tue fatture, le email di marketing e qualsiasi altra fonte non configurata correttamente. Procedi per gradi. La documentazione DMARC descrive l'intero processo di adozione progressiva.

Sicurezza dell'inoltro e del catch-all

Blocca l'inoltro automatico esterno

Questa singola regola contrasta l'attacco di esfiltrazione invisibile descritto in precedenza. Configura il server di posta in modo da vietare l'inoltro automatico verso domini esterni.

Raramente esiste un motivo aziendale valido per inoltrare automaticamente tutta la posta di un dipendente a un account Gmail personale. Se occorre accedere da più luoghi, configura IMAP su più dispositivi: è progettato per questo. Le regole che copiano silenziosamente tutto verso un indirizzo esterno creano per loro natura un canale di fuga dei dati.

Il problema del catch-all

Un indirizzo catch-all accetta tutto ciò che viene inviato a qualsiasi indirizzo del dominio, anche se non esiste. Sembra comodo, ma piace molto agli spammer. Colpiscono il dominio con attacchi a dizionario, provando a@yourdomain.com, aa@yourdomain.com e ab@yourdomain.com. Se rispondi a uno di questi messaggi, o se un indirizzo è una spam trap, la reputazione del dominio può risentirne.

Disabilita il catch-all, a meno che non esista un'esigenza operativa precisa. Se ne hai bisogno, monitoralo ogni giorno e applica filtri rigorosi. Il piano Pro di TrekMail supporta l'instradamento catch-all esterno con filtro antispam integrato, ma la guida alla configurazione del catch-all chiarisce che richiede una gestione attiva e non può essere dimenticato dopo l'attivazione.

La checklist di sicurezza in 12 punti

Se puoi spuntare tutte le voci seguenti, hai adottato una configurazione più solida di quella di molte organizzazioni, incluse aziende con team IT dedicati che non hanno ancora completato questo lavoro.

Stampa questa checklist. Inseriscila nella procedura di onboarding. Ripetila ogni sei mesi.

Perché il prezzo per utente è un problema di sicurezza

Va detto chiaramente: il prezzo per utente, il consueto modello da $6-$30 per postazione, crea una pressione economica diretta a ridurre le misure di sicurezza. Se ogni utente costa, i team condividono la password di info@ invece di creare account individuali. I collaboratori esterni non ricevono credenziali proprie. Gli account degli ex dipendenti restano attivi perché la migrazione sembra costosa.

Un'email aziendale sicura richiede isolamento. Ogni persona deve avere la propria identità e ogni bot di servizio il proprio account. Senza questa separazione non può esistere una traccia di controllo affidabile.

Il modello a tariffa fissa di TrekMail addebita uno spazio di archiviazione condiviso, non il numero di persone. Che tu gestisca cinque caselle o cinquecento, il prezzo non cambia in base alle utenze. Puoi quindi assegnare a tutti, dipendenti, collaboratori e account di servizio, credenziali distinte senza riaprire la discussione sul budget per ogni nuovo ingresso.

I piani partono da $3.50 al mese per un massimo di 50 domini e 100 utenti per dominio. Per un team di dimensioni normali, il calcolo può portare a molto meno di un dollaro per utente. Tutti i piani a pagamento includono una prova gratuita di 14 giorni, con carta richiesta.

Che cosa fare adesso

Esamina la checklist precedente e valuta con onestà ciò che manca. Molte aziende trovano almeno tre o quattro lacune al primo controllo. È normale e si può correggere.

Le azioni con l'impatto maggiore, in ordine di impegno rispetto al risultato, sono:

1. Abilita l'MFA ovunque. Fallo oggi.
2. Esamina i rapporti DMARC, se li hai; in caso contrario, inizia a raccoglierli.
3. Verifica che SPF termini con -all e non superi il limite di ricerche.
4. Blocca l'inoltro automatico esterno a livello di server.
5. Crea l'account di emergenza prima che serva.

La sicurezza non consiste nell'acquistare un prodotto magico. Dipende da una configurazione di base corretta e dal mantenerla nel tempo. Configura il DNS, imponi l'MFA e smetti di condividere password. Insieme, queste misure bloccano gran parte degli attacchi che colpiscono realmente le aziende.

Se parti da zero, TrekMail gestisce automaticamente la configurazione DKIM e SPF tramite il wizard DNS, blocca POP3 per scelta progettuale e offre un modello a tariffa fissa che rende sostenibile separare gli utenti. Provalo gratis per 14 giorni.