TrekMail 플랫폼 보안 기능 및 운영 보호 개요

TrekMail은 표준 플랫폼 보호 조치를 통해 계정과 이메일 데이터를 보호합니다. 이 개요에서는 제품에서 확인할 수 있는 제어 기능을 설명합니다.

사용자가 관리하는 보안 제어 기능

• 이메일 확인: 새 계정은 이메일 주소를 확인해야 합니다. 계정 확인 요건을 완료할 때까지 메일을 보낼 수 없습니다. 계정 이메일을 변경하면 확인 절차가 다시 시작됩니다.
• 계정 로그인용 2단계 인증(TOTP).
• 계정 소유권과 관리자 권한을 통한 역할 기반 접근(사용 가능한 경우).
• 계정과 사서함에 대한 비밀번호 정책 및 비밀번호 관리 절차. 사서함 비밀번호 변경 포털을 포함합니다.
• 구성 가능한 범위, 도메인 제약 및 만료 날짜가 있는 API 토큰. 새 토큰이 표시될 때 복사하고 비공개로 보관하세요.
• Drive 기기 비밀번호(동기화): 동기화 앱이나 기기마다 별도의 제한된 비밀번호를 사용하세요. 대시보드 또는 webmail의 Drive → Sync devices에서 생성합니다. 이름과 권한을 지정하고 선택적으로 만료일을 설정하세요. 관리자는 계정 전체 비밀번호를 만들 수 있고, 사서함 사용자는 webmail에서 해당 사서함 전용 비밀번호를 만들 수 있습니다. 비밀번호 하나를 취소해도 다른 기기는 연결된 상태로 유지됩니다. 새 비밀번호는 생성할 때만 표시됩니다. 관리자는 두 화면에서 기기를 확인하고 취소할 수 있습니다. 전체 수명 주기는 기기 동기화를 참조하세요.
• API 감사 로그는 관리자가 API 활동을 검토하고 예상하지 못한 변경을 조사하는 데 도움이 됩니다.

데이터 암호화

• 보호된 보안 값: 일부 제공업체 토큰이나 마이그레이션 자격 증명처럼 TrekMail이 작업을 위해 복구해야 하는 민감한 자격 증명은 애플리케이션 암호화를 사용해 저장됩니다. 인증에만 사용되는 비밀번호는 단방향 해시로 저장됩니다.
• 보안 유지 관리: TrekMail은 계정을 다시 구성하도록 요구하지 않고 저장된 데이터에 적용되는 보호 조치를 유지합니다.
• 규정 준수 기록: 계정을 삭제할 때 제한된 청구 및 관리 기록이 보관될 수 있습니다. 적용되는 정책은 개인정보 보호 및 데이터 보관을 참조하세요.
• 비밀번호 보호: 비밀번호는 보호되며 생성하거나 변경한 후 다시 표시되지 않습니다. 새 비밀번호가 필요하면 제공되는 변경 또는 재설정 절차를 사용하세요.

운영 방식

• Apps & devices에 표시된 IMAP 및 SMTP 연결 경로에는 TLS가 필요합니다. 이전 안내서의 값을 복사하지 말고 사서함 또는 브랜드에 표시된 정확한 호스트, 포트 및 TLS 방식을 사용하세요.
• 도메인 ID를 보호하기 위해 메일 전송에는 DNS 인증(SPF, DKIM, DMARC)이 필요합니다.
• 악용을 방지하기 위해 일회용 및 임시 이메일 주소는 가입 시 차단됩니다.
• 수신 이메일은 위험한 첨부 파일 보호를 포함한 여러 스팸 및 안전 제어 기능을 통해 검사됩니다.
• 속도 제한과 악용 방지 제어 기능은 공개 로그인 및 메일 서비스를 보호합니다.
• 브라우저 보안 제어 기능은 대시보드와 webmail을 보호하는 데 도움이 됩니다.
• 비활성화되거나 정지된 사서함은 메일 배달에서 제외됩니다. TrekMail은 비활성 사서함으로 오는 메일을 수락하거나 라우팅하지 않습니다.
• 발신 메일은 사서함별로 모니터링됩니다. 한 사서함에서 나가는 메일이 비밀번호 도용 가능성을 나타내면 TrekMail은 계정의 다른 사서함을 중단하지 않고 해당 사서함의 전송을 중지할 수 있습니다. 비밀번호를 변경하고 지원팀에 문의하여 전송 복구를 검토하세요. 사서함 보안을 참조하세요.
• 취약한 종속성은 자동 감사 검사를 통해 배포 시 차단됩니다.

독립 연구자는 문제를 테스트하거나 보고하기 전에 보안 및 취약점 공개 정책을 검토할 수 있습니다. 유효한 보고서를 통해 TrekMail 보호에 기여한 연구자는 보안 명예의 전당에 소개될 수 있습니다.

API 및 MCP 보안

• API 토큰은 HTTPS를 통한 bearer 인증을 사용합니다. 토큰을 비공개로 유지하고 노출이 의심되면 취소하세요.
• 범위는 각 토큰이 할 수 있는 작업을 제한합니다. 도메인 제약은 접근할 수 있는 도메인을 제한합니다.
• 사서함 삭제에는 의도와 확인으로 구성된 2단계 절차가 필요하며 10분 후 만료됩니다.
• MCP 서버는 기본적으로 파괴적 작업을 비활성화합니다. 삭제 도구는 명시적으로 사용 설정해야 합니다.
• 연결 설정과 마이그레이션 요청은 사용 전에 검증됩니다.
• 관리자는 AI Agents & API → Audit Log에서 API 활동을 검토할 수 있습니다.
• 요청 제한은 자동 수집으로부터 사서함 데이터를 보호하는 데 도움이 됩니다.

빠른 조치 및 문제 해결

• 모든 관리자에게 2FA를 사용 설정하여 계정 탈취 위험을 줄이세요.
• DNS 레코드를 최신 상태로 유지하여 스푸핑과 전송 가능성 문제를 방지하세요.
• API 토큰이 침해된 것으로 의심되면 즉시 취소하세요.
• API 감사 로그를 정기적으로 검토하여 예상하지 못한 활동을 탐지하세요.
• 타임스탬프와 영향을 받은 계정을 포함하여 지원 센터에 의심스러운 활동을 신고하세요.