Vi sender og mottar e-post nesten hver dag, og tenker sjelden på hvordan det fungerer eller om prosessen er sikker. Å velge feil e-postprotokoll kan imidlertid forårsake problemer som spenner fra begrenset lagringsplass på datamaskinen din til databrudd, tap av kundetillit eller blokkerte domener.

Denne guiden skisserer hvordan e-postprotokoller fungerer, forklarer den avgjørende forskjellen mellom funksjonalitet og sikkerhet, og gir en sjekkliste for SMB-er.

En rask ordliste for e-post

Terminologien rundt e-post høres veldig lik ut, men forskjellene er viktige. Dette er hva vi skal diskutere i denne guiden:

E-postklient: Programvaren du bruker til å lese, skrive og administrere e-postene dine, som Outlook, Apple Mail og Proton Mail.

E-postprotokoll: Regelsettet som styrer hvordan e-poster blir sendt, mottatt og lagret over internett. Kjerneprotokoller som SMTP, IMAP og POP3 håndterer den mekaniske bevegelsen av meldinger mellom tjenere og klienter.

Sikkerhetsprotokoll for e-post: Et beskyttende lag av standarder som ligger på toppen av kjerneprotokollene for e-post for å ivareta personvern og dataintegritet. Disse inkluderer krypteringsmetoder som TLS (for transport) og S/MIME eller PGP (for ende-til-ende-innhold), samt mekanismer for å oppdage skadelig programvare eller søppelpost.

Autentisering av e-post: Prosessen med å bekrefte at en e-post faktisk stammer fra domenet den utgir seg for å representere. Den baserer seg på trioen SPF, DKIM og DMARC for å instruere mottakende tjenere om de skal stole på, flagge eller avvise en melding, noe som forhindrer forfalskning av e-postadresser (spoofing) og nettfisking.

Verktøy for e-postmarkedsføring: En plattform designet for å opprette, sende og spore store e-postkampanjer, som Mailchimp, HubSpot eller SendGrid. Disse verktøyene bruker SMTP til å levere meldinger, og er sterkt avhengige av pravilg e-postautentisering for å sikre høy leveringsgrad.

E-postprotokoller forklart

1. Simple Mail Transfer Protocol (SMTP)

Hva det er: Standardprotokollen for å sende e-post. SMTP håndterer overføringen fra e-postklienten din til tjeneren, og mellom tjenere.

Hvordan det fungerer: E-postklienten din kobler seg til en SMTP-tjener, autentiserer seg og overleverer meldingen. Tjeneren videresender den deretter til mottakerens domene. Det er ikke mulig å sende en e-post uten SMTP.

Sikkerhetsmerknad: Standard SMTP sender data i ren tekst. Uten kryptering (STARTTLS) kan sensitive forretningsdata bli fanget opp.

2. Internet Message Access Protocol (IMAP)

Hva det er: Den moderne standarden for å motta og administrere e-post. IMAP beholder meldinger på tjeneren og synkroniserer dem på tvers av alle enhetene dine.

Hvordan det fungerer: Når du sjekker e-posten på telefonen, den bærbare datamaskinen eller nettbrettet, henter IMAP den nyeste statusen fra den sentrale tjeneren. Siden e-posten er lagret på tjeneren, forblir e-posthistorikken trygg hvis en bærbar datamaskin går tapt. På samme måte vil sletting av en e-post på én enhet slette den overalt.

Sikkerhetsmerknad: Siden dataene ligger på tjeneren, er sterk autentisering og kryptering helt nødvendig.

3. Post Office Protocol v3 (POP3)

Hva det er: En eldre protokoll som laster ned e-post til én enkelt enhet og vanligvis sletter dem fra tjeneren.

Hvordan det fungerer: E-postklienten kobler til, laster ned alle nye meldinger og kobler fra. Tjeneren blir stående tom. Denne protokollen anbefales sjelden for moderne bedrifter. Den oppretter datasiloer (hvis enheten din krasjer, er e-posthistorikken borte), og fordi alle e-poster lastes ned til enheten din, kan det skape lagringsproblemer på datamaskinen din.

Sikkerhetsmerknad: Mangel på redundans på tjenersiden gjør den sårbar for maskinvarefeil og tyveri. Denne høyrisikoprotokollen anbefales ikke, spesielt ikke for bedrifter.

Les mer: Hva er SMTP, IMAP og POP3?

SMTP og IMAP tjener motsatte formål, men et funksjonelt e-postoppsett krever begge protokoller. SMTP sender meldinger ut, mens IMAP henter innkommende meldinger. De fleste moderne e-postleverandører skjuler denne kompleksiteten, og programvaren konfigurerer automatisk både SMTP- og IMAP-innstillingene i bakgrunnen. Du trenger sjelden å tenke på hvilken du bruker – programvaren håndterer ganske enkelt begge samtidig.

Sikkerhetsprotokoller for e-post

E-postprotokoller flytter og lagrer meldinger, men sikkerhetsprotokoller for e-post er systemene som holder e-post, avsendere og mottakere trygge. De faller inn under to kategorier: de som krypterer data for å holde dem private, og de som autentiserer avsendere for å bevise identitet.

Krypteringsprotokoller

Transport Layer Security (TLS): Krypterer tilkoblingen mellom e-posttjenere når e-poster reiser over internett. De fleste moderne e-postleverandører håndhever TLS som standard.

STARTTLS: En kommando som oppgraderer en eksisterende ukryptert tilkobling til en sikker TLS-tilkobling. Hvis den andre siden ikke støtter det, faller tilkoblingen tilbake til ren tekst, noe som er en potensiell sårbarhet.

Secure/Multipurpose Internet Mail Extensions (S/MIME): Gir ende-til-ende-kryptering og digitale signaturer på meldingsnivå. Det krever at både avsender og mottaker utveksler digitale sertifikater, noe som gjør det mer vanlig i bedriftsmiljøer.

Pretty Good Privacy (PGP) / GNU Privacy Guard (GPG): En annen metode for ende-til-ende-kryptering og digital signering som gir sterkt personvern. I stedet for sertifikater bruker PGP en «web-of-trust»-modell der brukere utveksler offentlige nøkler direkte.

Autentiseringsprotokoller

Sender Policy Framework (SPF): Lar en domeneeier publisere en liste over autoriserte IP-adresser som har tillatelse til å sende e-post på vegne av dette domenet. Når en mottakende tjener får en melding, sjekker den avsenderens IP-adresse mot denne listen. Hvis IP-adressen ikke står på den, feiler e-posten SPF.

DomainKeys Identified Mail (DKIM): Legger til en kryptografisk signatur til hver utgående e-post, knyttet til avsenderdomenet. Den mottakende tjeneren verifiserer denne signaturen mot en offentlig nøkkel publisert i avsenderens DNS-poster.

Domain-based Message Authentication, Reporting, and Conformance (DMARC): Binder SPF og DKIM sammen og gir domeneeiere kontroll over hva som skjer når autentiseringen feiler. Gjennom en DMARC-retningslinje kan du instruere mottakende tjenere om å godta, sette i karantene eller avvise meldinger som feiler, og du mottar rapporter som viser hvem som prøver å sende uautoriserte e-poster fra domenet ditt.

Hvorfor dette er viktig for SMB-er

Uten sikkerhetsprotokoller lagt på toppen av kjerneprotokollene dine, risikerer du:

  1. Forfalskning av e-postadresser (spoofing): Angripere kan enkelt utgi seg for å være domenet ditt for å svindle kundene dine
  2. Avlytting: Ukryptert trafikk gjør det mulig for hackere å lese e-post under sending
  3. Svartelisting: Dårlig autentisering fører til at domenet ditt blir flagget som søppelpost

Sammen utgjør disse sikkerhetsprotokollene for e-post et lagdelt forsvar – kryptering holder nysgjerrige øyne unna innholdet, og autentisering sikrer at e-posten faktisk kom fra den den utgir seg for å være fra.

Hvordan protokoller påvirker suksess med e-postmarkedsføring

For SMB-er byr e-postmarkedsføring på en utfordring: Det er ikke sikkert det er du som sender e-postene. Om du bruker et markedsføringsverktøy eller kjører kampanjer selv, avgjør hva du er ansvarlig for å sikre.

Hvis du bruker et markedsføringsverktøy

Plattformer som Mailchimp, HubSpot og SendGrid håndterer sendeinfrastrukturen, inkludert SMTP-tjenere og kryptering. Men de kan ikke autentisere domenet ditt på dine vegne. Den delen er ditt ansvar.

Når et markedsføringsverktøy sender en e-post med domenet ditt, for eksempel nyhetsbrev@dinbedrift.no, sjekker mottakerens tjener fortsatt domenets autentiseringsposter:

  • SPF: Må inkludere markedsføringsverktøyets avsender-IP-er, slik at mottakerens tjener vet at de er autorisert til å sende på dine vegne.
  • DKIM: Markedsføringsverktøyet signerer e-posten med en kryptografisk nøkkel, men du må publisere den tilsvarende offentlige nøkkelen i DNS-postene dine, slik at mottakeren kan verifisere den.
  • DMARC: Forteller mottakende tjenere hva de skal gjøre hvis SPF eller DKIM feiler, og sender deg rapporter slik at du kan overvåke uautorisert bruk av domenet ditt.

De fleste anerkjente markedsføringsverktøy veileder deg gjennom dette DNS-oppsettet under oppstarten. Hvis ditt ikke gjør det, er det et dårlig tegn.

Hvis du kjører din egen kampanje

Å sende masse-e-post fra din egen SMTP-tjener legger hele ansvaret på deg. Du må:

  • Konfigurere SMTP-tjeneren din til å bruke TLS/STARTTLS for kryptert overføring
  • Konfigurere SPF-, DKIM- og DMARC-poster for domenet ditt
  • Overvåke avsenderryktet ditt – delte eller dårlig administrerte SMTP-tjenere er en vanlig årsak til svartelisting
  • Starte med et lavt sendevolum og øke det langsomt over tid for å bygge tillit hos innboksleverandører

Denne tilnærmingen gir deg mer kontroll, men krever betydelig mer teknisk ekspertise og løpende vedlikehold. For de fleste SMB-er er et anerkjent markedsføringsverktøy den tryggere og enklere veien.

Dataeierskap og forretningskontinuitet

For en SMB er e-post ikke bare kommunikasjon; det er en dokumentasjon av transaksjoner, avtaler og kunderelasjoner.

POP3-fellen: Hvis teamet ditt bruker POP3 og en ansatts bærbare datamaskin krasjer, kan du miste mange år med korrespondanse permanent fordi dataene aldri ble lagret på tjeneren.

IMAP-fordelen: Ved å beholde e-post på tjeneren sikrer du at data overlever maskinvarefeil og personalutskiftninger. Det gjør det også mulig for administratorer å arkivere og søke i kommunikasjon for samsvarsrevisjoner.

Selv om POP3 kan føles billigere eller enklere, gjør risikoen for å miste kritiske forretningsdata IMAP til det sikreste valget for et selskap i vekst.

En sjekkliste for e-postprotokollsikkerhet for SMB-er

Klar til å sikre e-postinfrastrukturen din? Følg denne trinnvise guiden:

  1. Gå gjennom det nåværende oppsettet ditt:
    • Bruker du TLS/STARTTLS for alle tilkoblinger? (Sjekk leverandørinnstillingene dine).
    • Bruker du fortsatt POP3? I så fall bør du planlegge en migrering til IMAP umiddelbart.
  2. Implementer autentiseringsposter:
    • Logg på DNS-leverandøren din.
    • Legg til SPF-posten din (inkluder alle autoriserte avsender-IP-er).
    • Generer og publiser DKIM-nøkkelen din.
    • Konfigurer en DMARC-retningslinje (start med overvåking).
  3. Sikre markedsføringsstakken din:
    • Sørg for at e-postmarkedsføringsplattformen din er konfigurert til å sende via ditt tilpassede e-postdomene, ikke et generisk underdomene.
    • Bekreft at domenet ditt består alle tre autentiseringskontrollene før du sender massekampanjer.
  4. Test og overvåk:
    • Send test-e-poster til Gmail, Outlook og Yahoo.
    • Vis e-posttopptekstene for å bekrefte at autentiseringen ble godkjent.
    • Abonner på samle-DMARC-rapporter for å overvåke uautorisert bruk.

Ikke vent på et databrudd eller en svartelistingshendelse for å gå gjennom e-postinfrastrukturen din. Start med sjekklisten ovenfor, og bygg et system som støtter bedriftens vekst på en sikker måte.

Trenger du hjelp til å implementere ende-til-ende-kryptering eller sikre bedriftens e-post? Utforsk Protons bedriftsløsninger for personvern og sikkerhet i bedriftsklassen.