7 best practice per proteggere il tuo account Twilio SendGrid e inviare la reputazione

In Twilio SendGrid, la nostra massima priorità sono i nostri clienti e la protezione dei loro marchi. Costruire la piattaforma di posta elettronica più potente e performante del mondo è solo l'inizio: abbiamo anche creato una tecnologia per proteggere i tuoi account e impedire che cadano nelle mani di malintenzionati.

Sappiamo che la sicurezza è un viaggio che intraprendiamo insieme ai nostri clienti, condividendo la responsabilità di garantire una soluzione di comunicazione sicura e affidabile. E con la recente tendenza alla violazione delle credenziali, abbiamo deciso di compilare alcune best practice per aiutarti a fare la tua parte nella protezione del tuo account.

Ecco 7 modi per mantenere il tuo account più sicuro.

1. Sicurezza della password

Assicurati di utilizzare una password complessa che non è condivisa tra altri siti Web ed è univoca per il tuo account. Oggi una password complessa non ha bisogno di essere una sequenza di caratteri difficili da ricordare. Dovresti scegliere password con più di 14 caratteri e più facili da ricordare. Ecco alcuni suggerimenti.

Ti consigliamo di aggiornare la tua password se non segue le linee guida di cui sopra. Per aggiornare la password nella console Twilio SendGrid, vedere Reimpostazione di nome utente e password.

2. Autenticazione a due fattori

L'autenticazione a due fattori aiuta a prevenire l'accesso non autorizzato anche se la tua password viene rubata o violata, secondo alcune stime è efficace al 99,9% contro gli attacchi automatici. L'autenticazione a due fattori aggiunge un ulteriore livello di sicurezza ai tuoi account.

Quando abilitato, agli utenti viene richiesto di inserire un codice inviato tramite SMS ai propri telefoni registrati e protetti. Senza questo codice, non è possibile accedere al sito Web, all'app o alle informazioni richieste. Sebbene non sia un proiettile d'argento per una sicurezza perfetta, l'autenticazione a due fattori migliora notevolmente la tua posizione di sicurezza. Scopri come implementare questa funzione.

3. Variabili d'ambiente per le tue chiavi API

Mai codificare le chiavi API. Se lo fai, ogni volta che esegui il push del codice nel repository condividi le tue chiavi API con tutti gli altri nel tuo progetto. Anche se lavori da solo, può causare problemi poiché chiunque veda il tuo codice avrà anche accesso alle tue informazioni segrete.

Per evitare questo problema, dovresti memorizzare le tue chiavi API come variabili di ambiente. Questa è una pratica molto più sicura con l'ulteriore vantaggio che puoi cambiarli una volta invece di cacciarli ovunque vengano utilizzati. Ci sono molti documenti online che ti mostrano come farlo e ti consigliamo vivamente di controllarli.

4. Limita l'ambito della tua chiave API

Consigliamo agli utenti di adottare l'approccio "meno privilegiati" e di creare chiavi API solo con i livelli di autorizzazione minimi necessari. Prova a creare più chiavi API con meno autorizzazioni invece di 1 chiave API con tutte le autorizzazioni.

Se la tua chiave API viene compromessa, è facile eliminare e creare una nuova chiave API e aggiornare le variabili di ambiente con la nuova chiave. Le autorizzazioni della chiave API possono essere impostate per fornire l'accesso a diverse funzioni del tuo account, senza fornire l'accesso al tuo account nel suo insieme.

5. Gestione dell'accesso IP

Alcuni clienti possono proteggere i propri account con la funzione di gestione dell'accesso IP. Questa funzione ti consente di controllare chi può accedere al tuo account Twilio SendGrid in base all'indirizzo IP che stanno utilizzando.

Questo è un potente strumento che garantisce che solo tu e il tuo team da indirizzi IP specificati noti possiate accedere all'account. Una cosa di cui devi essere consapevole è che è possibile rimuovere il tuo indirizzo IP dall'elenco di indirizzi consentiti, bloccando così il tuo accesso al tuo account.

Sebbene siamo in grado di ripristinare il tuo accesso, abbiamo bisogno di una prova completa della tua identità e della proprietà del tuo account. Prendiamo molto sul serio la sicurezza del tuo account e desideriamo impedire a qualsiasi "cattivo attore" di accedere in modo dannoso al tuo account.

Il tuo IP attuale viene visualizzato chiaramente per evitare di rimuoverlo accidentalmente dagli indirizzi consentiti. Per ulteriori informazioni su questa funzionalità e su come implementarla, vedere Gestione dell'accesso IP.

6. Autenticazione del mittente

Ora andiamo più a fondo e parliamo della sicurezza del tuo marchio impostando l'autenticazione del mittente per i tuoi domini al fine di impostare SPF e DKIM. Questa funzione ti consente di autenticare i tuoi domini con il tuo account Twilio SendGrid utilizzando le tecnologie di autenticazione e-mail standard del settore.

Questo non solo può aumentare la tua reputazione dal punto di vista dell'ISP, creare fiducia e migliorare la coerenza e la consegna del tuo marchio, ma può anche aiutare a proteggere il tuo dominio di invio. Ci sono tre componenti per una configurazione di autenticazione e-mail completa. Dovresti familiarizzare con tutte e tre le tecnologie e considerarle per proteggere il tuo marchio, i tuoi clienti e, in definitiva, rendere la posta in arrivo un luogo più sicuro per tutti:

SPF (Sender Policy Framework) è la forma originale di autenticazione e-mail. SPF è un record di testo nel tuo DNS e crea un'associazione tra l'IP di invio e il dominio. SPF di per sé non è una prova completa, ma è un punto dati aggiuntivo che i provider di cassette postali come Gmail utilizzano per stabilire la reputazione di un mittente. Completando l'autenticazione del mittente, SPF verrà automaticamente gestito per te. Per ulteriori informazioni su SPF, vedere Spiegazione dei record SPF.

DKIM (Domain Key Identified Mail) sfrutta una coppia di chiavi pubblica/privata per assegnare un identificatore univoco e una firma alla tua email. DKIM consente al destinatario di un messaggio di posta elettronica di assicurarsi che il messaggio non sia stato manomesso durante la consegna. Completando l'autenticazione del mittente, DKIM verrà automaticamente gestito per te. Abbiamo un ottimo post sul blog che parla di DKIM in dettaglio: come utilizzare DKIM per prevenire lo spoofing del dominio.

DMARC – Oltre a SPF e DKIM, DMARC (Domain-based Message Authentication, Reporting & Conformance) consente ai proprietari di domini di pubblicare una politica per la ricezione di domini, ad esempio Gmail, su cosa fare se un messaggio non supera SPF, DKIM o entrambi.

Quando qualcuno tenta di impersonare un dominio che ha abilitato DMARC, verrà avvisato tramite un rapporto forense dai domini che verificano e controllano DMARC. Questo può aiutare a impedire che mittenti dannosi possano potenzialmente falsificare l'utente e danneggiare la reputazione del mittente.

La configurazione di SPF e DKIM sono prerequisiti per DMARC. Di recente abbiamo collaborato con Valimail per renderti molto più semplice ciò che ti consente di analizzare e monitorare i tuoi rapporti DMARC. Invitiamo vivamente chiunque configuri DMARC a utilizzare un flag di imposizione p=quarantine o p=reject.

7. Usa i sottodomini per inviare e-mail

Usa i sottodomini invece del tuo dominio principale. Puoi isolare più facilmente ciò che sta influenzando la tua reputazione di invio e consegnabilità su ciascuno dei tuoi sottodomini separando le tue email di marketing e non di marketing. Ma nel caso in cui il tuo dominio di posta elettronica venga compromesso e segnalato da un provider di cassette postali come mittente errato, il tuo dominio principale non viene compromesso.

È sempre anche una buona pratica separare le e-mail di marketing dalle e-mail transazionali poiché gli utenti finali visualizzano questi tipi di e-mail in modo diverso e vengono gestiti in modo diverso in CAN-SPAM. Non è insolito che le e-mail di marketing abbiano una reputazione inferiore rispetto alle e-mail transazionali: con quale frequenza contrassegni una notifica di spedizione come spam?

Separare il flusso di posta in base al tipo di posta e al dominio aziendale di primo livello, ti offre rapporti dettagliati e un controllo flessibile per garantire che un colpo di reputazione su uno di essi non influisca necessariamente su tutto il tuo traffico.

In qualità di tuo partner nella consegna delle e-mail, monitoriamo e miglioriamo continuamente le nostre pratiche di sicurezza e vogliamo assicurarci che tu sia consapevole e aggiornato su tutti i modi in cui puoi proteggere il tuo account SendGrid. Per ulteriori consigli sulla sicurezza dell'account, consulta l'elenco di controllo per la sicurezza di SendGrid in 11 passaggi.