Несколько советов, которые помогут надёжнее защитить ваш аккаунт Haskimail.
Заведите отдельную учётную запись для каждого сотрудника
Убедитесь, что каждый человек, который имеет доступ к вашему аккаунту Haskimail, зарегистрирован как отдельный пользователь. Тогда никому не придётся делиться паролем, а двухфакторную аутентификацию (2FA) можно будет включить для каждого.
Доступ каждого пользователя можно ограничить отдельными серверами. Подробнее — в статье «Как настроить права пользователя?».
Используйте надёжные пароли
Убедитесь, что у каждого пользователя уникальный и надёжный пароль от Haskimail.
Не используйте один пароль для разных сервисов. Создавать и хранить надёжные пароли помогут менеджеры паролей и встроенные в браузер генераторы.
Включите 2FA
Включите двухфакторную аутентификацию в разделе Пользователи → ваш логин → Безопасность.
Если 2FA у вас уже включена, сделайте её обязательной для всех пользователей аккаунта в разделе Аккаунт → Настройки.
Ограничьте доступ по IP-адресам
В разделе Аккаунт → Безопасность есть два независимых списка разрешённых IP-адресов. Оба действуют на весь аккаунт.
- Ограничения для API и SMTP — адреса и подсети, с которых можно отправлять письма через HTTP API и SMTP. Укажите IP-адреса своих серверов: даже если ключ утечёт, отправить письма с другого адреса не получится.
- Ограничения для Личного кабинета — адреса, с которых можно входить в личный кабинет. Ограничение действует для всех пользователей аккаунта.
Адреса вводятся в формате IPv4, IPv6 или подсетью CIDR. Если список пуст, доступ разрешён с любых адресов.
Важно: перед сохранением списка для личного кабинета проверьте, что в нём есть ваш текущий IP-адрес — он показан на той же странице. Иначе вы не сможете войти в кабинет. Если сотрудники работают из разных офисов или через VPN, добавьте все их адреса.
Периодически меняйте API-ключи
Регулярно меняйте API-ключи аккаунта и серверов — даже если уверены, что ключ никуда не утёк. При выпуске ключа можно сразу задать срок действия: 30 дней, 90 дней, 1 год или бессрочно. Ключи, которыми больше не пользуетесь, отзовите кнопкой Отозвать.
Давайте ключам понятные названия, например «Сайт» или «CRM»: так проще понять, где используется ключ, и безопасно отозвать лишний. В столбце «Последний вызов» видно, когда ключом пользовались последний раз.
Никогда не пересылайте API-ключи по почте, в мессенджерах и рабочих чатах и не публикуйте их на форумах. Поддержка Haskimail никогда не попросит у вас API-ключ целиком. Как заменить ключ — в статье «Как сменить серверный API-ключ».
Защищайте формы от злоупотреблений спам-ботами
Спам-боты могут использовать публичные формы на вашем сайте — регистрации, подписки, обратной связи — и через них отправлять письма на чужие адреса. Это бьёт по вашей репутации отправителя. Защитите формы капчей, ограничьте частоту запросов с одного IP-адреса и подтверждайте подписку двойным opt-in.
Используйте вебхуки
Вебхуки Haskimail сообщают о доставке, возвратах и жалобах на спам в реальном времени. Настройте оповещение на резкий рост отправок, возвратов или жалоб — так вы быстро заметите взлом или атаку ботов.