Forced TLS e connessioni crittografate spiegati
Cos'è il forced TLS?
TLS (Transport Layer Security) è lo standard di sicurezza che crittografa una connessione, la stessa tecnica che rende possibile il lucchetto nel tuo browser. Nell'email, TLS protegge la connessione tra i mail server e tra il tuo dispositivo e il tuo mail server, così il contenuto non è leggibile lungo il percorso per chi intercetta la connessione.
Normalmente TLS è “opportunistico”: se la crittografia riesce, bene; se non riesce, a volte il messaggio passa comunque in chiaro. Il forced TLS chiude questa porta sul retro: se non c'è una connessione crittografata valida, la posta non viene consegnata. Sicurezza prima della comodità, quindi. Di più sulla crittografia in senso più ampio leggi in email crittografata: cosa si può fare e cosa no.
Perché una connessione crittografata conta
Di norma l'email viaggia attraverso più server e reti. Senza crittografia è come una cartolina: chiunque la prenda in mano lungo il percorso può leggerla. Non è un rischio teorico sulle reti pubbliche o condivise, dove il traffico è relativamente facile da intercettare. TLS mette quella cartolina in una busta chiusa per il tratto del viaggio tra i server.
Per chi lavora con dati personali non è un dettaglio. Il GDPR richiede misure tecniche adeguate nel trattamento dei dati personali, e una connessione crittografata fa parte delle basi. Sulla community security.nl qualcuno l'ha riassunto in modo azzeccato: con il forced TLS l'email si può usare tranquillamente per dati personali di base. Come regola pratica è corretto, a patto di capire cosa TLS protegge e cosa no. Per la domanda su cosa puoi inviare esattamente via email, vedi dati personali via email e il GDPR. In caso di dubbio rivolgiti a uno specialista.
Come funziona
TLS protegge la connessione, non il messaggio archiviato. Ecco come avviene in pratica.
- Il tuo server di invio si collega al server destinatario e propone di usare TLS.
- I due server si scambiano i certificati e stabiliscono un tunnel crittografato.
- Il messaggio viaggia in quel tunnel: lungo il percorso è illeggibile per chi osserva.
- All'arrivo viene decrittografato e archiviato sul server del destinatario.
Con il forced TLS si aggiunge un requisito rigido: se il passaggio 2 non riesce, il tuo server rifiuta di inviare il messaggio invece di inoltrarlo senza protezione. Scambi quindi un piccolo rischio di ritardo con la certezza che nulla esca senza crittografia.
Nota che sul server finale il messaggio viene archiviato in forma leggibile. TLS protegge esclusivamente il viaggio, non la destinazione. Chi ha accesso alla casella stessa vede il contenuto; di questo si occupano altre misure, come una password robusta e l'autenticazione a due fattori. La crittografia del trasporto e la protezione dell'accesso sono quindi due livelli diversi, e ti servono entrambi.
Importante da capire: questa è crittografia del trasporto, non crittografia end-to-end. TLS protegge il messaggio mentre viaggia tra i server. Sui server stessi la posta è archiviata in forma leggibile, e anche il lato ricevente deve supportare TLS. Se vuoi che solo il destinatario finale possa leggere, ti serve un livello di crittografia a parte; questa differenza è spiegata in email crittografata.
In pratica la distinzione più importante è quella tra “opportunistico” e “forced”. Il TLS opportunistico prova a crittografare, ma in caso di problemi ripiega in silenzio sul traffico in chiaro, senza che tu te ne accorga. Proprio questo ripiego è ciò che un attaccante può provocare. Il forced TLS chiude questa via d'uscita: nessuna connessione protetta valida significa nessuna consegna. Ottieni quindi certezza invece di “di solito va bene”.
A cosa fare attenzione
- TLS ≠ end-to-end. Protegge il viaggio tra i server, non l'archiviazione successiva. Per documenti davvero riservati può servire una crittografia aggiuntiva.
- Entrambi i lati devono partecipare. Se il server destinatario non supporta TLS, il forced TLS blocca la consegna. È sicuro, ma può ritardare il recapito.
- Non regola l'accesso. La crittografia lungo il percorso non dice nulla su chi può entrare nella casella. Combinala quindi con una protezione dell'accesso robusta come la 2FA.
- I certificati devono essere validi. Un certificato scaduto o errato interrompe la connessione crittografata.
- È in gran parte lavoro del provider. Come utente raramente imposti TLS da solo; fa parte di un ambiente di posta configurato bene.
Una valutazione pratica è quella tra sicurezza e certezza del recapito. Un forced TLS rigoroso protegge al massimo, ma può bloccare la posta verso destinatari senza TLS. Per la maggior parte della corrispondenza aziendale non è un problema, perché le controparti serie supportano TLS. Se lavori con dati sensibili, la protezione pesa più del raro inconveniente. È proprio il tipo di scelta che puoi lasciare a un provider che configura l'ambiente secondo standard moderni.
E con Mailflux
Con Mailflux la tua email gira su un'infrastruttura configurata secondo standard moderni, con connessioni crittografate (TLS) tra il tuo dispositivo e i nostri server e nel trasporto dei messaggi. Così la tua posta resta protetta lungo il percorso senza che tu debba armeggiare.
Ricevi email professionale con il tuo dominio, ospitata in Europa e conforme al GDPR, con filtri basati sul machine learning contro spam, phishing e malware, antivirus, antispam e antimalware di serie, backup automatici e autenticazione a due fattori (2FA) opzionale. Un unico prezzo chiaro per casella, con fatturazione annuale, con le basi della sicurezza curate a dovere.
FAQ
Domande frequenti
Il forced TLS è la stessa cosa della crittografia end-to-end?
No. Il forced TLS crittografa la connessione su cui viaggia la tua posta, così nessuno può leggere lungo il percorso. La crittografia end-to-end crittografa il contenuto stesso, così solo il destinatario finale può leggerlo, anche sul server. TLS è sicurezza del trasporto; per i contenuti più sensibili serve un livello in più.
L'email con forced TLS è abbastanza sicura per i dati personali?
Per i dati personali di base, una connessione crittografata è un'importante misura di base. Il GDPR richiede una sicurezza adeguata, e questa dipende dalla sensibilità dei dati. Per le categorie particolari, come i dati sanitari, può servire di più. In caso di dubbio rivolgiti a uno specialista.
Devo impostare io il forced TLS?
Di solito no, come utente. TLS e la sua imposizione fanno parte di un ambiente di posta configurato bene e sono gestiti dal tuo provider. In pratica te ne accorgi poco, se non per il fatto che i tuoi messaggi vengono inviati e ricevuti solo tramite connessioni protette.