امنیت
امنیت در Mail.Land
کنترل‌هایی که امروز اجرا می‌کنیم، برای بازبینی‌های امنیتی و پرسش‌نامه‌های ارزیابی تأمین‌کننده. فقط آنچه را اکنون برقرار است فهرست می‌کنیم و هرجا امکانی هنوز در دسترس نیست، صریح می‌گوییم.
وضعیت گواهی‌نامه
Mail.Land در حال حاضر هیچ گواهی امنیتی ندارد: نه گواهی ISO 27001، نه گزارش SOC 2 و نه آزمون نفوذ منتشرشده از سوی شخص ثالث. این صفحه کنترل‌های ما را همان‌طور که امروز هست شرح می‌دهد. هرگاه این وضعیت تغییر کند، این صفحه هم همراه با آن تغییر میکند.
کنترل‌های برقرار
هر مورد زیر کنترلی را شرح می‌دهد که امروز در محیط عملیاتی اجرا میشود.
میزبانی و شبکه
- سیستمهای عملیاتی روی Hetzner در آلمان، در نورنبرگ و فالکنشتاین، اجرا میشوند. پایگاه‌های داده و سرورهای ایمیل ما در نورنبرگ قرار دارند.
- یک نسخه پشتیبان ثانویه رمزگذاریشده روی زیرساختی نگهداری میشود که خودمان در ورشو، لهستان، اداره می‌کنیم.
- ترافیک وب به وب‌سایت، داشبورد و API از Cloudflare عبور میکند که محافظت در برابر حملات DDoS را فراهم میکند.
- سرورها با دیواره آتش محافظت میشوند و روی میزبان‌های برنامه و صف پیام، سامانه تشخیص خودکار (CrowdSec) تلاش‌های اتصال سوءاستفاده‌گرانه را مسدود میکند.
رمزگذاری
- اتصال به داشبورد و API از HTTPS استفاده میکند.
- رله SMTP ورود را فقط پس از رمزگذاری اتصال با STARTTLS می‌پذیرد.
- تحویل به سرورهای ایمیل گیرندگان، هرجا سرور گیرنده پشتیبانی کند، از TLS استفاده میکند.
- کلیدهای API فقط به‌صورت هش ذخیره میشوند و بنابراین قابل بازخوانی نیستند. گذرواژه‌ها به‌صورت هش bcrypt ذخیره میشوند.
- کلیدهای مخفی احراز هویت دومرحلهای و کلیدهای مخفی امضای وب‌هوک به‌صورت رمزگذاریشده ذخیره میشوند.
- نسخه‌های پشتیبان خارج از سایت پیش از خروج از سرورهای ما رمزگذاری میشوند. کلیدها در اختیار ما است، نه ارائهدهنده ذخیره‌سازی.
امنیت حساب
- احراز هویت دومرحلهای با برنامه احراز هویت (authenticator)، همراه با کدهای بازیابی یک‌بارمصرف، برای همه کاربران در دسترس است.
- ورود یکپارچه (SSO) با Google، Microsoft، Okta یا هر ارائهدهنده OpenID Connect در همه طرح‌ها گنجانده شده است. میتوانید SSO را برای دامنه ایمیل خود الزامی کنید؛ با این کار ورود با گذرواژه برای آن دامنه غیرفعال میشود.
- نقش‌های تیم: Owner، Admin، Member و Viewer.
- گزارش فعالیت، اقداماتی را که در حساب شما انجام میشود ثبت میکند.
- تلاش‌های ناموفق و مکرر برای ورود به‌طور موقت مسدود میشوند.
هنوز در دسترس نیست
- حساب هنوز نمیتواند احراز هویت دومرحلهای را برای همه اعضای خود الزامی کند؛ هر کاربر خودش آن را فعال میکند.
- ورود یکپارچه SAML و کلیدهای عبور (passkey) پشتیبانی نمی‌شوند.
کلیدهای API
- هر کلید را می‌توان به API یا SMTP، به دامنه‌های ارسال انتخاب‌شده و به فهرستی از نشانی‌های IP مجاز محدود کرد.
- کلیدها می‌توانند تاریخ انقضا و محدودیت نرخ مخصوص خود را داشته باشند.
- وقتی کلیدی را تعویض میکنید، کلید قبلی تا پایان مهلتی که خودتان تعیین میکنید کار میکند تا بتوانید کلید جدید را بدون قطعی به کار بگیرید.
- با کلید sandbox که روی حالت «فقط ثبت» (log only) تنظیم شده باشد، میتوانید بدون تحویل هیچ ایمیلی آزمایش کنید.
احراز هویت ایمیل
- فقط از دامنه‌ای میتوانید ارسال کنید که آن را از طریق DNS تأیید کرده باشید. در فرایند تأیید، رکوردهای SPF، DKIM، DMARC و return-path شما بررسی میشود.
- Mail.Land امضای DKIM دومی از طرف خود به هر پیام اضافه میکند تا ارائهدهندگان صندوق پستی بتوانند تشخیص دهند کدام بستر آن را ارسال کرده است.
وب‌هوک‌های امضاشده
- درخواست‌های وب‌هوک رویداد با HMAC-SHA256 و با کلید مخفی‌ای امضا میشوند که مختص هر وب‌هوک است.
- سرآیند امضا یک مهر زمانی دارد تا نقطه پایانی شما بتواند درخواست‌های قدیمی یا تکرارشده را رد کند. مستندات ما بازه‌ای پنج‌دقیقه‌ای را توصیه میکند.
پیشگیری از سوءاستفاده
- همه مشتریان سیاست استفاده قابل‌قبول ما را می‌پذیرند.
- پیش از آنکه حسابی برای ارسال تأیید شود، سازمان و مالکان ذی‌نفع آن را در برابر فهرست‌های رسمی تحریم غربالگری می‌کنیم.
- پیوندهای کمپین‌ها، و پیوندهای ردیابی‌شده هنگام کلیک، از نظر فیشینگ و بدافزار با Google Web Risk بررسی میشوند.
- هر کسی میتواند سوءاستفاده از سرویس را از طریق فرم گزارش سوءاستفاده ما گزارش کند.
عملیات
- سرویس‌های عملیاتی با متریک‌ها، گزارش‌ها (لاگ) و هشدارهای متمرکز پایش میشوند.
- بازیابی از نسخه پشتیبان در محیط‌های ایزوله تمرین میشود.
- وابستگی‌های .NET ما در خط لوله ساخت از نظر آسیب‌پذیری‌های شناخته‌شده پویش میشوند و هر یافته با شدت بالا یا بحرانی، ساخت را متوقف میکند.
- دسترسی به سیستمهای عملیاتی و دادههای شخصی به شمار اندکی از کارکنان مجاز محدود است.
اطلاع‌رسانی رویداد امنیتی و نقض داده
اگر نقض داده‌ای دادههای شما را تحت تأثیر قرار دهد، پس از آگاهی از آن، بدون تأخیر ناموجه و مطابق الزام ماده ۳۳(۲) GDPR، شما را مطلع می‌کنیم. این اطلاع‌رسانی به مسئول امنیتی تعیین‌شده شما یا، اگر کسی تعیین نشده باشد، به کاربران Owner و Admin حساب شما ارسال میشود. بخش ۶ DPA مشخص میکند این اطلاعیه چه مواردی را دربر دارد و چگونه به شما در انجام تعهدات خودتان کمک می‌کنیم.
گزارش آسیب‌پذیری
اگر مشکلی امنیتی در Mail.Land پیدا کردید، به ما ایمیل بزنید. لطفاً مراحل بازتولید آن و بخش‌هایی از سرویس را که تحت تأثیر قرار می‌دهد ذکر کنید. هدف ما این است که دریافت گزارش‌ها را ظرف ۷۲ ساعت تأیید کنیم و از رویه افشای هماهنگ پیروی می‌کنیم. برنامه پاداش پولی برای کشف باگ (bug bounty) نداریم.
- نشانی تماس امنیتی:
- [email protected]
پرسش‌نامه‌های امنیتی
پرسش‌نامه خود را به نشانی تماس امنیتی ما بفرستید. پاسخ‌های ما بر پایه واقعیت‌های مندرج در این صفحه، در DPA و در سیاست حریم خصوصی ما است. برای پرسش‌های مربوط به حفاظت از داده‌ها، صفحه GDPR ما را ببینید.
پرسش‌های متداول
آیا SOC 2 یا ISO 27001 دارید؟
خیر. Mail.Land در حال حاضر هیچ گواهی امنیتی ندارد. این صفحه به‌جای آن، کنترل‌هایی را که اجرا می‌کنیم فهرست میکند.
دادههای من کجا میزبانی میشود؟
سیستمهای عملیاتی ما روی Hetzner در آلمان اجرا میشوند و یک نسخه پشتیبان رمزگذاریشده در ورشو، لهستان، نگهداری میشود. برخی ارائهدهندگان، مانند Cloudflare، Stripe و Google، ممکن است دادههای محدودی را بیرون از اتحادیه اروپا پردازش کنند. صفحه GDPR ما تکتک آنها را فهرست میکند.
آیا میتوانیم احراز هویت دومرحلهای را برای تیم خود الزامی کنیم؟
هنوز نه. هر کاربر میتواند احراز هویت دومرحلهای را فعال کند و شما میتوانید SSO را برای دامنه ایمیل خود الزامی کنید، اما حساب هنوز نمیتواند احراز هویت دومرحلهای را برای همه اعضا اجباری کند.
آیا از SAML پشتیبانی میکنید؟
خیر. ورود یکپارچه با Google، Microsoft، Okta و هر ارائهدهنده OpenID Connect کار میکند.
چگونه تأیید کنم که یک وب‌هوک از Mail.Land آمده است؟
سرآیند X-MLND-Signature را بررسی کنید: این مقدار یک HMAC-SHA256 از مهر زمانی و بدنه درخواست است که با کلید مخفی وب‌هوک شما ساخته شده است. مستندات ما نمونه‌هایی به هشت زبان دارد.
پرسشی درباره امنیت دارید؟
به نشانی تماس امنیتی ما بنویسید یا برای فهرست کامل اقدامات، DPA را بخوانید.