Passer du godt nok på dine kunders personoplysninger, når du sender mails?
I kølvandet på GDPR-forordningen, som trådte i kraft tidligere på året, skærper Datatilsynet fra 1. januar 2019 praksis for kryptering af mails, som indeholder personoplysninger.
Lad os kigge nærmere på, hvad det indebærer for din webshop.
Hvad er det, der skal krypteres?
Den rejse, en mail gennemgår fra den forlader din udbakke, til den lander i din kundes indbakke, består i store træk af 3 faser:
Fase 1: Fra dit mailprogram til din mailserver
Fase 2: Fra din mailserver til kundens mailserver
Fase 3: Fra kundens mailserver til kundens mailprogram
Den sidste er den simpleste set fra dit perspektiv, så den tager vi lige først.
Fase 3: Fra kundens mailserver til kundens mailprogram
Denne fase har du ingen indflydelse på. Hvis forbindelsen er ukrypteret, vil mailen kunne læses af uvedkommende, uanset hvor avanceret kryptering der er på de andre forbindelser.
Du har heller ikke noget ansvar for sikkerheden af denne forbindelse, så bare glem alt om den.
Fase 1: Fra dit mailprogram til din mailserver
– Fra sin mailklient til sin mailserver bør man allerede i dag have etableret kryptering. Hvis du bruger Office 365 eller Gmail, så kører det på Microsofts eller Googles webservere, som kører SSL, dvs. den forbindelse er krypteret, fortæller Jens Højgaard, Team Lead i Netgroup.
Hvis du bruger en mailklient som f.eks. Outlook, er forbindelsen til din mailserver ikke automatisk krypteret. Bruger du IMAP eller POP3, bliver dine mails sendt i såkaldt ”klartekst”. Det samme gælder det brugernavn og det password, du logger på mailserveren med.
For at beskytte både dine loginoplysninger og indholdet af dine mails skal du bruge IMAP SSL eller POP3 SSL. Er du i tvivl, om din forbindelse er sikker, så kontakt din webhost.
LÆS OGSÅ: Sådan penetrerer hackerne din webshop
Fase 2: Fra din mailserver til kundens mailserver
Når en mail sendes fra en mailserver til en anden, sker det via protokollen SMTP. Som udgangspunkt er der ingen kryptering på SMTP, så mailen bliver sendt i ”klartekst” – også selv om forbindelsen mellem dit mailprogram og din mailserver er krypteret.
– Reelt set svarer det til, at du sender et postkort. Det betyder, at både postbuddet og dem, der sorterer din post, kan læse indholdet. Derfor vil Datatilsynet have SMTP-protokollen pakket ind i kryptering, siger Jens Højgaard.
Minimumskravet til kryptering af forbindelsen mellem mailservere er TLS 1.2.
– TLS 1.0 og TLS 1.1 anses ikke længere for at være sikre. I takt med at computere bliver hurtigere, og hackerne bliver dygtigere, skal krypteringsnøglerne være længere og længere og krypteringen mere avanceret, siger Jens Højgaard.
Når du sender en mail til en kunde, slår din mailserver op i DNS-registeret (en offentligt tilgængelig ”telefonbog” for domæner og tilhørende ip-adresser) og finder kundens mailserver, som den derefter tager kontakt til.
– De to mailservere forhandler om sikkerhedsniveauet for den forbindelse, de skal bruge til hhv. at sende og hente mailen. De prøver selvfølgelig at finde den højeste fællesnævner, siger Jens Højgaard.
For at undgå at sende mailen via en usikker forbindelse kan du sætte din mailserver op til at kræve TLS 1.2 er højere. Men desværre er det ikke alle mailservere, der tilbyder TLS 1.2, eller som er opsat til at bruge det.
– Og så kan du ikke sende mailen. Så kommer den retur til dig fra din mailserver: ”Nu har jeg prøvet at sende den her i 24 timer, og jeg kan ikke aflevere den”.
LÆS OGSÅ: Geoblocking-forbuddets betydning for din webshop
E-handlernes sikkerhedsdilemma
Jo højere sikkerhedsniveau din mailserver kræver, jo oftere vil det mislykkes at sende en mail. Alligevel opfordrer Jens Højgaard til at sætte barren højt.
– Hvis jeg havde en webshop i dag, så ville jeg sætte min mailserver op til som minimum at sende mails med TLS 1.2, vel vidende at 20% af mine ordrebekræftelser aldrig når frem, siger han.
Men hvad gør vi så med de 20%?
Skal vi indføre en ”Download din ordrebekræftelse her, hvis du ikke har fået den på mail”-knap?
Eller skal vi i stedet slække på sikkerheden i forhold til vores kunders privatliv og risikere GDPR-bøder for at være sikre på at nå ud til vores kunder?
I sidste ende må den enkelte webshop selv foretage en vurdering. Ifølge Jens Højgaard bør man spørge sig selv:
– Hvad er vigtigst? Mine kunders sikkerhed eller det øgede pres på min kundeservice? Ville jeg selv bryde mig om, hvis mine informationer lå og flød ude på internettet?
Det sidste spørgsmål kan du muligvis svare ja til, hvis din webshop sælger sportstøj eller IT-udstyr. Men hvad hvis det er kondomer, hæmoridecreme eller graviditetstests, man kan købe i din shop?
– En af vores kunder er en webshop, som sælger følsomme produkter, som jeg nok ikke ville fortælle min mor, hvis jeg købte. De har et højere sikkerhedsniveau end de ville have haft, hvis de solgte legetøj, siger Jens Højgaard.
Det ville unægtelig være praktisk for danske webshops, hvis alle mailservere som minimum skulle tilbyde TLS 1.2. Der er dog ingen tegn i sol og måne på, at der kommer et sådant krav foreløbig.