SSL, TLS e STARTTLS si riferiscono a protocolli standard utilizzati per proteggere le trasmissioni email.

SSL (Secure Sockets Layer) e il suo successore, Transport Layer Security (TLS), offrono un modo per crittografare un canale di comunicazione tra due computer su Internet. Nella maggior parte dei casi, i termini SSL e TLS possono essere usati in modo intercambiabile, a meno che non ci si riferisca a una versione specifica del protocollo.

Poiché TLS e SSL sono protocolli a livello applicativo, i mittenti e i destinatari devono sapere che vengono utilizzati per crittografare le email durante il transito. Ecco dove entra in gioco STARTTLS.

STARTTLS è un comando del protocollo email che informa un server di posta elettronica che un client email, incluso un client email che gira in un browser web, vuole trasformare una connessione esistente insicura in una sicura. (A proposito, l'uso di "TLS" nel nome del comando STARTTLS non significa che funzioni solo con il protocollo di sicurezza TLS. Funziona anche con SSL.)

Come funziona SSL?

Quando un client email invia e riceve email, utilizza TCP (Transmission Control Protocol) tramite il livello di trasporto per iniziare una "stretta di mano" con il server di posta. Durante quel processo di configurazione di base, il client email informa il server di posta quale versione di SSL o TLS sta eseguendo e quali suite di cifratura (una combinazione di processi utilizzati per negoziare le impostazioni di sicurezza) e metodi di compressione desidera utilizzare.

Dopo che la configurazione è completata, il server di posta verifica la sua identità al client email inviando un certificato che è considerato attendibile dal software dell'utente o da una terza parte attendibile. In questo modo, si garantisce che il client email non stia inviando messaggi a un impostore. Una volta che il client sa di poter fidarsi del server, una chiave viene scambiata tra i due, consentendo di crittografare tutti i messaggi inviati e ricevuti.

Perché dovresti preoccuparti di SSL o TLS?

È importante utilizzare SSL o TLS nella configurazione della posta elettronica perché le email non sicure sono un vettore di attacco comune per i malintenzionati. Chiunque intercetti email crittografate si ritroverà con testo spazzatura con cui non può fare nulla, perché solo il server email e il client hanno le chiavi per decodificare i messaggi.

Questo è fondamentale per garantire la protezione di nomi utente, password, dettagli personali e altre informazioni sensibili che spesso si trovano nelle email. Se un attaccante scopre una vulnerabilità, la sfrutterà finché può e minerà dati che saranno venduti nel mercato nero.

TLS è il metodo di crittografia preferito perché è più recente e offre funzioni di sicurezza più robuste rispetto a SSL.

È anche una buona idea combinare la crittografia email basata su TLS con l'autenticazione email per garantire l'integrità dei messaggi email.

Come utilizza SparkPost SSL, TLS e STARTTLS?

Le chiamate API in entrata di SparkPost usano HTTPS (la versione sicura di HTTP) e sono crittografate SSL/TLS. Se si sceglie di abilitare Encryption: STARTTLS, allora TLS verrà utilizzato per l'SMTP in ingresso. SparkPost usa anche TLS opportunistico per i messaggi in uscita, il che significa che utilizza TLS per crittografarli se il server SMTP ricevente supporta TLS.