Sophos Email: configurare crittografia portale, branding e richiamo

Portal Encryption conserva il messaggio cifrato in un portale web; Push Encryption usa credenziali di crittografia associate al destinatario. Branding, accesso, scadenza e stati per il mittente vengono predisposti tramite una richiesta e poi gestiti in un portale amministrativo separato. Non è un normale interruttore di policy con effetto immediato.

Ambito: TLS per SMTP, S/MIME, la distribuzione di Sophos Outlook Add-in e le intestazioni di crittografia generate da Data Control sono procedure distinte. Nessuna di queste configura il branding o il richiamo del portale.

Prerequisiti e stato iniziale

Servono una licenza Sophos Email con Portal Encryption Add-on, nome, logo, colori, piè di pagina e contatto di supporto approvati, almeno un amministratore autorizzato e un indirizzo di sistema dedicato. Definire MFA amministratore, accesso destinatari, Message Expiry Period, Sender Notification, richiamo ed eventuale One-Way Submission. Preparare destinatari esterni di test per Portal Encryption e, se usato, Push Encryption.

Registrare lo stato in Global Settings > Products and Services > Email > Encryption. Se EMS mode impedisce la configurazione, non aggirare il vincolo. Avvisare i destinatari esistenti: dovranno registrarsi nuovamente nel portale con il nuovo branding. I vecchi messaggi restano nel portale precedente durante una transizione massima di 30 giorni e lì scadono.

Preparare Portal Branding

Aprire Encryption, scegliere Download Branding Guidelines e applicare i requisiti correnti.
In Portal Branding, inserire Portal Name. Verificare Account Name, Region e Email Domains, compilati automaticamente e non modificabili; far correggere gli errori da Sophos Support.
In Portal Logo > Upload Portal Logo, caricare un logo appartenente all’organizzazione in JPEG, PNG o GIF, massimo 5 MB e dimensioni fisse 450 × 204 pixel. PNG mantiene la trasparenza. Un marchio altrui può causare revoca del branding e rifiuto delle email cifrate.
Impostare Background Color e Foreground Color in Portal Colors con selettore o valori RGB, HSL o esadecimali.
Controllare accesso ed email di attivazione con Preview Branding, quindi tornare con Confirm Branding.

Durante il rollout alcuni tenant mostrano ancora un unico modulo invece delle sezioni separate Portal Branding e Feature Configuration. Le funzioni sono le stesse: documentare la variante visibile.

Configurare amministratori e accesso

In Feature Configuration:

In Administrators, scegliere solo chi può gestire account, reset e report. L’Administrator Access richiesto è indispensabile per il portale amministrativo.
Attivare Multi-factor Authentication per tali amministratori tramite app TOTP.
Impostare Time Zone per date del portale e notifiche.
Scegliere una System Email Address dedicata, per esempio no-reply@example.com. Non usarla per inviare email cifrate: può creare un loop e causare mancata consegna.
Selezionare solo le lingue di attivazione necessarie; una o due risultano meno sospette di un elenco lungo.
Decidere esplicitamente Reply All, Social Connector Sign-In to Secure Message web-portal, Passkey Login, Challenge Questions e Alternate Address.
Rendere 2-Step Verification via TOTP (Authenticator Apps) obbligatoria oppure Optional. Questa protezione del destinatario è distinta dalla MFA amministrativa.

Alternate Address invia il recupero all’indirizzo alternativo fornito alla registrazione. I connettori elencati sono Facebook, Google, Windows Live e Office 365. Attivare solo metodi approvati dall’organizzazione.

Scadenza, notifiche e richiamo

In Customize sender features, scegliere Message Expiry Period, attivare Sender Notification se il mittente deve consultare consegna, ritiro e scadenza e usare il richiamo, e inserire testo approvato in Customize Message Template. Specificare One-Way Submission come requisito esplicito e verificarlo nella conferma e con un test: Preview Branding non ne dimostra l’attivazione. Inserire altre richieste in Special Instructions, ma considerarle configurate solo dopo conferma, poiché Sophos cerca di soddisfarle senza garantirlo.

Il richiamo richiede Sender Notification nella richiesta. L’email contiene il collegamento alla cronologia e rende Recall disponibile al mittente. La documentazione del prodotto non indica se o come Recall influisca sull’accesso successivo al portale, sulla riapertura o sulle copie esterne; non bisogna quindi dedurne una protezione di questo tipo. Message Expiry Period e Recall sono funzioni distinte: la prima definisce il periodo di disponibilità configurato, mentre Recall è un’azione del mittente.

Effetti delle intestazioni di crittografia Data Control

Una regola Data Control corrispondente può impostare o modificare queste intestazioni per singolo messaggio. Queste sostituzioni non cambiano la richiesta di branding a livello di tenant, Message Expiry Period, Sender Notification o Recall:

X-SophosEmailEncrypt-NoAuth = true|false: true fornisce un collegamento al messaggio del portale senza richiedere l’autenticazione del destinatario; false non rimuove l’obbligo di autenticazione. Questa intestazione richiede Portal Encryption Add-on.
X-SophosEmailEncrypt-VerificationCode = true|false: con true, il mittente riceve il codice dopo l’invio del messaggio cifrato del portale e deve comunicarlo al destinatario. Il destinatario può generare un codice sostitutivo, che viene nuovamente inviato al mittente; false non richiede il codice. Anche questa intestazione richiede Portal Encryption Add-on.
X-SophosEmailEncrypt-ExpiryPeriod = today|fiveDays|oneWeek|twoWeeks: sono accettati solo questi quattro valori e il periodo scelto non può superare il massimo dell’account. Il massimo predefinito è 30 giorni e può essere stato modificato tramite il branding personalizzato. Per Push Encryption scade solo il messaggio di registrazione, non il messaggio push o i relativi documenti protetti.
X-SophosEmailEncrypt-SendNotification = true|false: true avvisa il mittente quando il messaggio cifrato viene inviato; false non genera la notifica.
X-SophosEmailEncrypt-ReadNotification = true|false: true avvisa il mittente alla lettura; false non genera la notifica. Per Push Encryption conta solo la lettura del messaggio di registrazione, non l’apertura di un documento protetto.

Per il collaudo, impostare un solo valore esatto alla volta in una regola pilota in uscita con ambito ristretto e usare messaggi innocui. Per Portal Encryption verificare la regola e l’azione applicate e, secondo il caso, l’autenticazione normale, l’accesso senza autenticazione oppure l’invio e la sostituzione del codice tramite il mittente. Confrontare il valore di scadenza con il massimo dell’account; un test Push deve dimostrare che scade solo il messaggio di registrazione. Provare separatamente SendNotification=true e ReadNotification=true e controllare le notifiche previste; nel test Push solo la lettura del messaggio di registrazione deve produrre una notifica di lettura. Una notifica di invio non abilita né il branding né Recall.

Inviare e predisporre

Fare clic su Submit e poi Confirm. La richiesta non è più modificabile direttamente; le correzioni richiedono Sophos Support. Il provisioning richiede in genere due giorni lavorativi, non garantiti.

L’amministratore riceve collegamento e credenziali. La password temporanea scade dopo un giorno. Completare subito la configurazione o usare Forgot Password nel portale amministrativo. Non avviare la produzione prima di conferma e collaudo.

Collaudare i flussi

Inviare messaggi innocui a un nuovo destinatario esterno e a uno esistente. Verificare:

Sender Notification fornisce il collegamento di stato previsto.
L’attivazione usa branding e portale corretti e consente la registrazione.
Accesso, TOTP o Optional, passkey, connettore social e recupero corrispondono al progetto approvato.
Risposta e Reply All seguono la configurazione.
Consegna, ritiro e scadenza hanno orari plausibili nella corretta Time Zone.
Richiamare un secondo messaggio innocuo con Recall, quindi registrare soltanto lo stato osservato e il comportamento all’apertura nel portale. Non considerare l’osservazione una garanzia del prodotto e non trarre conclusioni sulle copie esterne.
Verificare Message Expiry Period con un test idoneo o un report.

Push Encryption dal punto di vista del destinatario

Una consegna cifrata tramite Push contiene allegati protetti da password e può includere anche il corpo del messaggio come PDF. Il contenuto che Sophos inserisce in un documento protetto usa la password Sophos Secure Message registrata dal destinatario; gli allegati cifrati prima dell’invio rimangono invariati. Una singola consegna può combinare file PDF, Microsoft Office e ZIP. Il destinatario li apre con un visualizzatore di documenti compatibile, ad esempio Adobe Reader, e la password registrata. Dopo aver aperto il messaggio cifrato nel visualizzatore, può inviare una risposta sicura.

Una risposta dal portale può fallire il controllo SPF di un provider a valle perché il percorso visibile differisce dal mittente originale. Per Google Workspace, affidarsi a Sophos Email al confine di posta oppure usare il rilevamento automatico degli IP esterni di Google secondo l’architettura approvata; non disattivare SPF in modo generale. Se TLS 1.2 non è disponibile, falliscono sia i flussi TLS obbligatori sia quelli opportunistici. Sono verifiche di trasporto, non impostazioni di branding.

Gestire destinatari e report

Nel portale amministrativo, Credential Management separa i metodi:

Document Encryption Passwords per Push Encryption: Disable User 2-Step Verification, Migrate Encryption Keys e Expire Encryption Keys. Dopo la scadenza, il destinatario registra una nuova password per i futuri messaggi push.
Web Portal per Portal Encryption: Reset Password, Suspend Account e Disable User 2-Step Verification. La sospensione blocca l’accesso senza cancellare l’account.

Usare Summary reports per gli scambi nel periodo, Policy reports anche per messaggi prossimi alla scadenza e Message reports per messaggi o destinatari specifici. Verificare indirizzo e metodo prima di intervenire: migrare chiavi non equivale al reset della password del portale.

Risolvere problemi e tornare indietro in sicurezza

Branding assente: controllare conferma e tenant; non reinviare durante il normale provisioning. Dati automatici errati o modifiche vanno a Sophos Support.
Accesso amministratore non riuscito: controllare validità di un giorno, Forgot Password, Administrator Access, ora TOTP e amministratore scelto.
Destinatario bloccato: distinguere Portal da Push Encryption. In Web Portal, controllare password, sospensione e verifica; in Document Encryption Passwords, migrazione e scadenza chiavi.
Recall assente: confermare che Sender Notification fosse nella richiesta predisposta. Una notifica di consegna o un’azione di policy non lo abilita.
Ora o stato errati: confrontare Time Zone, destinatario, Message-ID e cronologia; usare i report come riscontro.
Risposta bloccata da SPF o TLS: analizzare separatamente mail flow e provider; non disattivare la sicurezza del portale.

Poiché una richiesta inviata non si modifica direttamente, il rollback è una correzione controllata. Sospendere il rollout, chiedere a Sophos la correzione approvata, sospendere solo gli account coinvolti se c’è un rischio e usare nel frattempo un canale sicuro già autorizzato. Non caricare marchi altrui, non usare l’indirizzo di sistema come mittente cifrato e non disattivare MFA in massa. Fornire al supporto tenant, regione, ora d’invio, conferma, indirizzi interessati, Message-ID, timestamp, stato del portale e schermate anonimizzate.