Czy dodatek może czytać treść moich e-maili?

Uprawnienia, o które prosi dodatek, są zadeklarowane w jego manifeście i wyświetlane podczas udzielania zgody przez administratora. Dodatek do podpisów prosi o prawo zapisu w redagowanej wiadomości i odczytu atrybutów katalogu, a nie o odczyt skrzynki.

Jak sprawdzić, o co dodatek naprawdę prosi?

Ekran zgody Twojego dostawcy tożsamości wyświetla listę żądanych uprawnień przed zatwierdzeniem. To najbardziej bezpośredni dowód zakresu dostępu: pochodzi od Microsoftu lub Google, a nie od dostawcy narzędzia.

Czy moje e-maile przechodzą przez serwery dostawcy?

W przypadku dodatku – nie: wiadomość wychodzi z Twojej dzierżawy do odbiorcy bez udziału podmiotu trzeciego. W przypadku przekaźnika SMTP – tak, i to właśnie ten punkt należy sprawdzić w pierwszej kolejności podczas audytu bezpieczeństwa.

Co się stanie, jeśli narzędzie zostanie zhakowane?

Zakres ryzyka obejmuje przechowywane dane. W przypadku dodatku są to zsynchronizowany katalog i szablony, a nie treść wiadomości, do której narzędzie nigdy nie miało dostępu.

Czy narzędzie do stopek mailowych może czytać Twoje e-maile? Odpowiedź techniczna

W zależności od architektury narzędzie do podpisów e-mail ma albo nie ma dostępu do treści Twoich wiadomości. Różnica między dodatkiem po stronie klienta, regułą przepływu poczty a przekaźnikiem SMTP – objaśniona na potrzeby audytu bezpieczeństwa.

To pierwsze pytanie każdego audytu bezpieczeństwa i jest ono w pełni uzasadnione: czy narzędzie, które ingeruje w Twoje e-maile, ma dostęp do ich treści? Odpowiedź zależy wyłącznie od wybranej architektury, a trzy architektury dostępne na rynku mają różny zakres dostępu.

Architektura 1 – dodatek po stronie klienta

Dodatek działa w kliencie poczty w chwili, gdy użytkownik pisze wiadomość. Wstawia blok HTML do treści redagowanej wiadomości.

Zakres dostępu odpowiada uprawnieniom zadeklarowanym w manifeście dodatku: zapisowi w elemencie, który jest właśnie tworzony, oraz odczytowi atrybutów katalogu potrzebnych do wypełnienia pól.

Wynikają z tego dwie właściwości – i to one liczą się podczas audytu bezpieczeństwa:

Wiadomość nie przechodzi przez dostawcę. Wstawienie podpisu odbywa się na komputerze użytkownika, w oknie redagowania. Wiadomość wychodzi następnie z Twojej dzierżawy Microsoft lub Google do odbiorcy zwykłą trasą, bez żadnych objazdów.

Skrzynka nie jest czytana. Dodatek działa na wiadomości w trakcie tworzenia, a nie na skrzynce odbiorczej, historii czy archiwum.

Tak działa Signally – szczegóły na stronie dodatek Microsoft 365.

Architektura 2 – reguła przepływu poczty

Podpis dodaje Twój własny serwer pocztowy – Exchange Online albo usługa zgodności w Google Workspace – w trakcie przesyłania wiadomości.

Tutaj dostawca w ogóle nie uczestniczy w przetwarzaniu wiadomości: dostarcza treść stopki, a Twój serwer ją stosuje. Żadnego dostępu, żadnego tranzytu.

W zamian ta architektura ma istotne ograniczenia funkcjonalne – nadawca nigdy nie widzi swojego podpisu, w wątkach piętrzą się kolejne bloki, a wiadomości szyfrowane są pomijane – co opisujemy w artykule dodatek czy reguła przepływu poczty.

Architektura 3 – przekaźnik SMTP

To architektura, która wymaga uważnej analizy. Wiadomość opuszcza Twój serwer, przechodzi przez infrastrukturę dostawcy, który dodaje podpis, a następnie trafia do odbiorcy.

Z samej konstrukcji tej architektury wynika, że cała treść Twoich wiadomości przechodzi przez podmiot trzeci – treść, załączniki, odbiorcy. Oznacza ona także zmianę routingu poczty wychodzącej, z konsekwencjami dla dostarczalności oraz konfiguracji SPF i DKIM.

Nie jest to architektura sama w sobie niewłaściwa i niektórzy dostawcy wdrażają ją rzetelnie. Zmienia jednak charakter pytania, które trafia do Twojego specjalisty ds. bezpieczeństwa (CISO): nie chodzi już o zatwierdzenie komponentu, tylko o włączenie podmiotu trzeciego w łańcuch przesyłania poczty.

Jak to sprawdzić, zamiast wierzyć na słowo

Trzy konkretne weryfikacje, które nie opierają się na zapewnieniach dostawcy.

Ekran zgody. Podczas łączenia dzierżawy Twój dostawca tożsamości – Microsoft Entra ID lub Google – wyświetla dokładną listę żądanych uprawnień. Ta lista pochodzi od Microsoftu lub Google, a nie od dostawcy narzędzia. To najbardziej bezpośredni dowód zakresu dostępu.

Dokumentacja API. Żądane uprawnienia odpowiadają zakresom (scopes) publicznie udokumentowanym przez Microsoft i Google. Możesz sprawdzić, co obejmuje każdy z nich.

Konfiguracja routingu. Jeśli instalacja wymaga zmiany łączników, rekordów MX albo SPF, masz do czynienia z architekturą przekaźnikową. Jeśli nie dotyka niczego w routingu – nie.

Dobrze wiedzieć: podczas instalacji zrób zrzut ekranu zgody i dołącz go do dokumentacji bezpieczeństwa. To datowany dowód, który jest wart więcej niż zapewnienie handlowca.

Zakres ryzyka rezydualnego

Żadne narzędzie nie jest wolne od ryzyka i uczciwiej jest je określić, niż mu zaprzeczać.

W przypadku dodatku napastnik, który przejąłby systemy dostawcy, uzyskałby dostęp do przechowywanych danych: zsynchronizowanego katalogu – imion i nazwisk, stanowisk, służbowych numerów telefonu – oraz szablonów. Nie do treści wiadomości, do których narzędzie nigdy nie miało dostępu.

To różnica jakościowa, a nie ilościowa. Wyciek katalogu służbowego to poważny incydent; wyciek historii e-maili całej organizacji to zupełnie inna skala.

Lokalizacja przechowywanych danych i jurysdykcja, której podlegają, to druga część dokumentacji – omawiamy ją w artykule suwerenność danych.

Podsumowanie dla Twojego CISO

W przypadku architektury opartej na dodatku wystarczą cztery punkty:

Podpis jest wstawiany w trakcie redagowania, po stronie klienta, do bieżącej wiadomości.
Żadna treść e-maili nie jest czytana, analizowana ani przechowywana i nie przechodzi przez dostawcę.
Synchronizowane są wyłącznie atrybuty katalogu wyświetlane w podpisie.
Brak zmian w routingu poczty wychodzącej: żadnego łącznika, przekaźnika ani zmiany SPF.

Te informacje oraz szczegółowy opis tego, czego Signally nie robi, znajdziesz na naszej stronie bezpieczeństwo i RODO, przygotowanej tak, by można ją było przekazać działowi IT bez zmian.