Możesz opracować najlepszą strategię treści, ale jeśli Twoja wiadomość nie zostanie dostarczona, nie osiągniesz żadnych rezultatów. Jak więc mieć pewność, że wiadomości dotrą do odbiorców? Jakie są dobre (i złe) praktyki związane z pocztą elektroniczną?
Aby pomóc Ci lepiej zrozumieć działanie narzędzia, z którego korzystasz na co dzień, zespół Signitic dzieli się dziś solidną porcją wiedzy o e-mailach!
Spis treści
W tym przewodniku wspólnie omówimy:
- Jak działa wysyłanie i odbieranie wiadomości e-mail: protokoły, które zatwierdzają (lub odrzucają) dostarczenie wiadomości
- Jak działa wyświetlanie obrazów
1. Bezpieczeństwo, które stało się obowiązkowe
W 1971 roku, krótko po wynalezieniu Arpanetu (przodka internetu), amerykański inżynier Ray Tomlinson opracował system poczty wykorzystujący znak „@” w adresie. Nie przypuszczał wówczas, że właśnie stworzył jeden z najpopularniejszych środków komunikacji na świecie: e-mail.
System był pierwotnie przeznaczony do ograniczonego użytku, dlatego niemal w ogóle nie wyposażono go w zabezpieczenia. Można było podszyć się pod dowolnego nadawcę, a serwery przekazujące wiadomości miały dostęp do ich treści. To trochę tak, jakby list nigdy nie był wkładany do koperty.
Dziś, w 2024 roku, 53 lata później, e-mail jest najczęściej używanym środkiem komunikacji na świecie, a uwierzytelnianie tożsamości nadawcy i bezpieczeństwo przesyłanych elementów stały się kluczową kwestią. W tym celu stosuje się 3 protokoły: DKIM, SPF i DMARC. Właśnie o nich opowiemy, wyjaśniając sposób ich działania.
Definicje
Na początek: jaki jest cel każdego z nich?
- DKIM pozwala wiarygodnie uwierzytelnić nadawcę wiadomości e-mail.
- SPF wskazuje serwery pocztowe uprawnione do wysyłania wiadomości z Twojej domeny.
- DMARC służy do ograniczania nadużyć związanych z pocztą elektroniczną.
Aby przejść dalej i szczegółowo omówić działanie każdego z tych protokołów, trzeba najpierw poznać podstawy systemów szyfrowania.
Podstawy systemów szyfrowania
Weźmy bardzo prosty przykład: chcesz wysłać znajomemu tajną wiadomość, ale zostanie ona dostarczona przez pośrednika (który nie powinien jej zrozumieć).
Załóżmy, że chcesz powiedzieć znajomemu BONJOUR. Zamiast wysyłać tę wiadomość bezpośrednio, zaszyfrujesz ją, przesuwając każdą literę o 1 pozycję w alfabecie.
BONJOUR zmieni się w: B⇒C O⇒ P N⇒ O J⇒ K O⇒ P U⇒ V R⇒ Q.
Wynik to CPOKPVQ, a taką zaszyfrowaną wiadomość nazywa się „hashem”.
Pośrednik przenoszący wiadomość nie zrozumie hasha.
- Aby zaszyfrować wiadomość, każdą literę należy przesunąć o 1 pozycję w prawo w alfabecie. ⇒ to jest klucz prywatny.
- Aby odszyfrować wiadomość, trzeba przesunąć każdą literę o jedną pozycję w lewo. ⇒ to jest klucz publiczny.
System szyfrowania użyty w tym przykładzie jest bardzo prosty (i zupełnie nieodporny). Ponadto, znając klucz publiczny, można natychmiast wywnioskować klucz prywatny.
Prawdziwy system szyfrowania ma inne właściwości:
- Klucza prywatnego nie można odgadnąć na podstawie klucza publicznego.
- Odgadnięcie klucza publicznego lub prywatnego metodą dedukcji jest całkowicie niemożliwe.
Jak działa hash
Aby lepiej zrozumieć szyfrowanie wiadomości, przyjrzyjmy się dokładniej temu, czym jest hash:
Hash to wynik działania funkcji skrótu (algorytmu szyfrującego), która przyjmuje dane wejściowe (na przykład hasło lub plik) i generuje ciąg znaków o stałej długości. Ciąg ten jest unikalny dla każdych odmiennych danych wejściowych, a nawet niewielka zmiana danych powoduje powstanie zupełnie innego hasha. Hashe są używane w kryptografii do sprawdzania integralności danych, zabezpieczania haseł i identyfikowania plików. W naszym przykładzie chodzi o zaszyfrowanie wiadomości e-mail kluczem prywatnym.
Kluczową właściwością hasha jest to, że odtworzenie na jego podstawie pierwotnych danych jest praktycznie niemożliwe.
Istnieje kilka rodzajów funkcji skrótu, takich jak MD5, która generuje hash o długości 32 znaków, ale nie jest już uznawana za bezpieczną; SHA-1, która generuje hash o długości 40 znaków i również została wycofana; oraz SHA-256, która generuje hash o długości 64 znaków i jest dziś powszechnie stosowana ze względu na wysoki poziom bezpieczeństwa. Poszczególne rodzaje hashy zapewniają różny poziom bezpieczeństwa i są wybierane zależnie od konkretnych wymagań aplikacji.
Wyobraźmy sobie teraz, że chcesz wysłać znajomemu zaszyfrowaną wiadomość i umożliwić mu upewnienie się, że rzeczywiście pochodzi od Ciebie. Masz do tego dwa klucze: klucz prywatny (którego jesteś jedynym posiadaczem) oraz klucz publiczny dostępny dla wszystkich.
Proces
Piszesz wiadomość i szyfrujesz ją swoim kluczem prywatnym. Szyfrowanie oznacza wiadomość unikalnym podpisem, który może wygenerować wyłącznie Twój klucz prywatny. Następnie wiadomość zostaje wysłana do znajomego. Po jej otrzymaniu używa on klucza publicznego do sprawdzenia podpisu i odszyfrowania wiadomości. Jeśli wiadomość da się odszyfrować, wie, że rzeczywiście pochodzi od Ciebie, ponieważ tylko wiadomość zaszyfrowana Twoim kluczem prywatnym może zostać odszyfrowana Twoim kluczem publicznym.
Celem jest tutaj uwierzytelnienie nadawcy wiadomości. Ponieważ klucz deszyfrujący (klucz publiczny) jest widoczny dla wszystkich, treść wiadomości nie jest tajna.
DKIM
Zacznijmy od protokołu DKIM (DomainKeys Identified Mail). Pozwala on zidentyfikować nadawcę wiadomości e-mail przez cyfrowe podpisanie jej kluczem prywatnym, którego nie można udostępniać wszystkim. Klucz ten jest unikalny dla firmy wysyłającej wiadomość. Oprócz podpisu wysyłanego wraz z wiadomością istnieje drugi klucz — publiczny — który może być udostępniony wszystkim. Klucz publiczny jest przesyłany do serwera DNS odbiorcy, po czym serwer pocztowy porównuje oba klucze. Jeśli są zgodne, wiadomość trafia do skrzynki odbiorczej adresata. W przeciwnym razie zostaje wysłana do spamu. Ten bardzo przydatny protokół stanowi pierwszą barierę ochronną. Niestety sam nie wystarcza, ponieważ napastnicy również mogą go używać.
SPF
Dlatego protokół DKIM często łączy się z SPF (Sender Policy Framework). Można go opisać jako rodzaj listy wskazującej serwery pocztowe uprawnione do wysyłania wiadomości e-mail z Twojej domeny i sprawdzającej, czy wiadomości pochodzą od autoryzowanego nadawcy.
DMARC
DMARC (Domain-based Message Authentification, Reporting and Conformance) jest natomiast polityką bezpieczeństwa opartą na specyfikacjach i działaniach DKIM oraz SPF. Przekazuje serwerowi pocztowemu instrukcje, co zrobić, jeśli co najmniej jeden z tych dwóch protokołów nie zostanie spełniony: wysłać wiadomość do spamu lub całkowicie ją usunąć.
Jak działa wyświetlanie obrazów w wiadomościach e-mail?
E-mail stał się dziś najczęściej używanym środkiem komunikacji na świecie — każdego dnia wysyłanych jest prawie 360 miliardów wiadomości, a blisko 90% cyberataków zaczyna się od zwykłego e-maila. Bezpieczeństwo jest więc absolutną koniecznością. Ze względu na ograniczenia technologiczne w latach 1980–1990 wiadomości były początkowo wyłącznie tekstowe. Dopiero w 1991 roku wprowadzenie standardu MIME (Multipurpose Internet Mail Extensions), który umożliwił dołączanie różnych plików, pozwoliło dodawać obrazy do wysyłanych wiadomości. Był to decydujący przełom: od tej pory można było wysyłać nie tylko tekst, lecz także pliki multimedialne (obrazy, filmy, pliki…). Współczesne klienty poczty nadal się rozwijały, usprawniając obsługę wiadomości HTML i osadzonych obrazów oraz umożliwiając zmianę kroju pisma, jego stylu, pogrubienia itd. Rozwój CSS w latach 2010. pozwolił tworzyć bardziej zaawansowane i responsywne układy, jeszcze bardziej usprawniając sposób wyświetlania obrazów i zarządzania nimi.
Outlook / Gmail: 2 różne metody
Obecnie do umieszczania obrazów w wiadomości e-mail stosuje się 2 główne metody: załącznik albo obraz zdalny.
Obrazy osadzone
W przypadku załączników obrazy są dołączane do wiadomości za pomocą unikalnego identyfikatora i przywoływane w jej treści przez Content-ID (CID). Jest to prosta metoda osadzania obrazów, ale nie pozwala na ich wyświetlanie w treści wiadomości e-mail i zwiększa rozmiar wiadomości.
Obrazy zdalne
Często stosowaną alternatywą jest przechowywanie obrazów na serwerze i wskazywanie ich w wiadomości za pomocą adresów URL. Po odebraniu wiadomości obraz jest pobierany i wyświetlany. Metoda zdalnych obrazów pozwala zachować niewielki rozmiar wiadomości i aktualizować obrazy na serwerze bez modyfikowania e-maila, wymaga jednak połączenia z internetem. Obrazy mogą być też domyślnie blokowane w celu ochrony prywatności użytkowników.
Działanie w różnych klientach poczty
Na przykład Outlook, który wykorzystuje obrazy osadzone w treści wiadomości, poprosi Cię o ręczne potwierdzenie wyświetlenia obrazu w podpisie.
Z Outlooka do Gmaila
Przypadek wiadomości z osadzonym obrazem wysyłanej do klienta poczty korzystającego z obrazów zdalnych.
Obraz osadzony w wiadomości Outlook jest prawidłowo wyświetlany w Gmailu.
Z Gmaila do Gmaila
Przypadek wiadomości ze zdalnym obrazem wysyłanej do podobnego klienta poczty.
Zdalny obraz jest prawidłowo wyświetlany po odebraniu w kliencie poczty, który obsługuje obrazy w ten sam sposób.
Z Gmaila do Outlooka
Przypadek wiadomości ze zdalnym obrazem wysyłanej do klienta poczty korzystającego z obrazów osadzonych.
Domyślnie obraz nie zostaje wczytany, dopóki użytkownik go nie zatwierdzi albo nadawca nie zostanie zatwierdzony (dodany do białej listy) lub zapisany w kontaktach. Pokazuje to zabezpieczenia stosowane przez Outlook.
Uwaga: ustawienia te można zmienić w opcjach programu Outlook, aby obrazy były domyślnie wyświetlane.
