Обзор безопасности платформы TrekMail

TrekMail защищает вашу учетную запись и почтовые данные с помощью стандартных мер платформы. В этом обзоре описаны средства контроля, видимые в продукте.

Средства безопасности под вашим управлением

• Подтверждение электронной почты: в новых учетных записях подтверждается адрес электронной почты. Отправка недоступна, пока не выполнено требование по подтверждению учетной записи. При изменении адреса подтверждение запускается повторно.
• Двухфакторная аутентификация (TOTP) для входа в учетную запись.
• Ролевой доступ на основе владения учетной записью и прав администратора, где они доступны.
• Политики паролей и процессы управления паролями учетных записей и почтовых ящиков, включая портал смены пароля ящика.
• Пароли почтовых приложений: создавайте отдельный именованный пароль для каждой программы или устройства. Только пароли приложений требует его для IMAP, SMTP, календарей и контактов; Пароль ящика или пароли приложений принимает любой из двух паролей. Существующие ящики сохраняют второй режим после запуска функции. Новые используют настройку Настройки аккаунта > Новые ящики > Почтовым программам нужны пароли приложений, включённую по умолчанию; её изменение не переключает существующие ящики. Создавайте или отзывайте пароли в веб-почте в разделе Настройки, Пароли приложений или в панели на вкладке Безопасность ящика. См. Пароли приложений для почтовых программ.
• 2FA ящика: защищает только вход в обычную веб-почту. Почтовые программы и классическая веб-почта никогда не запрашивают код. Обычной веб-почте по-прежнему нужен пароль ящика; пароли приложений не открывают её или панель. Классическая веб-почта использует пароль приложения в режиме Только пароли приложений.
• Токены API с настраиваемыми областями доступа, ограничениями доменов и сроками действия. Скопируйте новый токен при показе и храните его в тайне.
• Пароли устройств Drive (синхронизация): используйте отдельный ограниченный пароль для каждого приложения или устройства синхронизации. Создайте его в разделе Drive, Устройства синхронизации на Панели управления или в webmail. Укажите имя, выберите права и при желании задайте срок действия. Администраторы могут создавать пароли для всей учетной записи; пользователи ящиков могут создавать в webmail пароли только для своего ящика. Отзыв одного пароля не отключает другие устройства. Новый пароль показывается только при создании. Администраторы могут просматривать и отзывать устройства в обоих интерфейсах. Полный жизненный цикл описан в статье Синхронизация устройств.
• Журнал аудита API помогает администраторам проверять активность API и расследовать неожиданные изменения.

Сброс пароля ящика администратором и восстановление пароля отзывают все пароли приложений. При собственной смене пароля в веб-почте пользователь может выбрать Также отозвать все пароли приложений (по умолчанию выключено). Приостановка входа, преобразование в общий ящик и перемещение в «Недавно удалённые» также отзывают их; восстановление их не возвращает. У общих ящиков нет собственных паролей приложений: участники используют учётные данные своих ящиков.

Шифрование данных

• Защищенные секреты: конфиденциальные учетные данные, которые TrekMail должна восстановить для операции, например некоторые токены провайдеров или данные миграции, хранятся с применением шифрования приложения. Пароли, используемые только для аутентификации, хранятся как односторонние хеши.
• Обслуживание защиты: TrekMail поддерживает меры защиты хранимых данных без необходимости перенастраивать учетную запись.
• Документы для соблюдения требований: некоторые платежные и административные записи могут сохраняться после удаления учетной записи. Применимая политика приведена в статье Конфиденциальность и хранение данных.
• Защита паролей: пароли защищены и после создания или изменения повторно не показываются. Если нужен новый пароль, воспользуйтесь доступным процессом смены или сброса.

Операционные меры

• TLS обязателен для подключений IMAP и SMTP, показанных в разделе Приложения и устройства. Используйте точные хост, порт и метод TLS, указанные для почтового ящика или бренда, а не значения из старой инструкции.
• Для отправки обязательна аутентификация DNS (SPF, DKIM, DMARC), защищающая идентификатор вашего домена.
• Одноразовые и временные адреса электронной почты блокируются при регистрации для предотвращения злоупотреблений.
• Входящая почта проходит несколько проверок на спам и угрозы, включая защиту от опасных вложений.
• Ограничения частоты и средства борьбы со злоупотреблениями защищают общедоступный вход и почтовые службы.
• Средства безопасности браузера помогают защищать Панель управления и webmail.
• Отключенные и приостановленные ящики исключаются из доставки. TrekMail не принимает и не маршрутизирует почту для неактивного ящика.
• Исходящая почта контролируется отдельно для каждого ящика. Если исходящий поток указывает на кражу пароля, TrekMail может остановить отправку из этого ящика, не прерывая работу других ящиков учетной записи. Смените пароль и обратитесь в поддержку для рассмотрения восстановления отправки. См. Безопасность почтового ящика.
• Уязвимые зависимости блокируются при развертывании автоматическими аудит-проверками.

Независимые исследователи могут ознакомиться с нашей Политикой раскрытия уязвимостей и вопросов безопасности перед тестированием или сообщением о проблеме. Исследователи, чьи обоснованные отчеты помогают защищать TrekMail, могут быть отмечены в нашем Зале славы безопасности.

Безопасность API и MCP

• Токены API используют bearer-аутентификацию по HTTPS. Храните токен в тайне и отзовите его, если подозреваете раскрытие.
• Области доступа ограничивают действия каждого токена. Ограничения доменов определяют, к каким доменам он имеет доступ.
• Удаление почтового ящика требует двухэтапного процесса намерения и подтверждения со сроком действия 10 минут.
• Сервер MCP по умолчанию отключает разрушительные операции. Инструменты удаления требуют явного включения.
• Настройки подключения и запросы миграции проверяются перед использованием.
• Администраторы могут просматривать активность API в разделе AI-агенты и API, Журнал аудита.
• Ограничения запросов помогают защитить данные ящиков от автоматизированного сбора.

Быстрые меры и устранение неполадок

• Включите 2FA для всех администраторов, чтобы снизить риск захвата учетной записи.
• Поддерживайте записи DNS в актуальном состоянии, чтобы предотвратить подмену и проблемы с доставляемостью.
• Немедленно отзывайте токены API при подозрении на компрометацию.
• Регулярно проверяйте журнал аудита API для выявления неожиданной активности.
• Сообщайте о подозрительной активности через Центр поддержки, указывая время и затронутые учетные записи.

Связанные статьи

• Двухфакторная аутентификация (2FA / TOTP)
• Обязательные записи DNS (MX, SPF, DKIM, DMARC)
• Политика допустимого использования (AUP)
• Обзор API
• Защитные ограничения и намерения удаления