O que é um secure email gateway (SEG)?

Um secure email gateway é uma camada de filtragem que fica na frente do servidor de e-mail de uma empresa e inspeciona cada mensagem antes de deixá-la passar. Se você vive vendo SEG nos resultados de verificação e quer saber o que é um secure email gateway na prática, é o posto de controle por onde passa o e-mail de entrada e de saída de uma empresa, procurando ameaças e aplicando políticas no caminho. O servidor de e-mail por trás nunca vê uma mensagem que o gateway decide bloquear.

SEG é só a abreviação

SEG quer dizer secure email gateway, e quando você começa a prestar atenção vê a sigla mais do que o nome completo. Os dois são usados como sinônimos. Quando uma ferramenta de verificação marca um endereço como estando atrás de um SEG, ou um relatório de entregabilidade fala em filtragem SEG, está falando da camada de filtragem descrita aqui. O termo parece mais técnico do que a ideia, que é um guarda posicionado na frente da sala de correspondência.

O que o gateway realmente faz

Um gateway existe para manter o e-mail ruim do lado de fora e o sensível do lado de dentro. Na entrada, ele procura spam, malware e phishing, e coloca em quarentena ou recusa tudo o que dispara uma regra. Na saída, aplica prevenção contra perda de dados e compliance, barrando mensagens que vazariam dados de clientes ou violariam uma norma. Muitos também cuidam de criptografia e arquivamento de longo prazo.

Uma empresa adota um porque rodar tudo isso no próprio servidor de e-mail é mais difícil de administrar e mais fácil de errar. O gateway centraliza as regras num único ponto que toda mensagem precisa atravessar.

Os gateways que você mais vai encontrar

Um punhado de fornecedores domina esse mercado. Proofpoint, Mimecast, Barracuda e Cisco IronPort são os nomes que você mais vai encontrar em domínios empresariais, e há muitos menores por trás deles. No total, detectamos 15 secure email gateways.

Eles diferem em recursos e preços, mas vistos de fora se comportam do mesmo jeito. Cada um fica na frente do sistema de e-mail real e decide o que chega até ele. Por isso a presença de um fornecedor específico diz que a empresa escolheu aquele produto, e pouco mais sobre os endereços por trás dele.

Um gateway não é o provedor da caixa

É fácil confundir o gateway com o sistema de e-mail da empresa, mas são camadas separadas. Uma empresa pode manter suas caixas no Microsoft 365 ou no Google Workspace e ainda assim colocar na frente um gateway de outro fornecedor. Assim, uma empresa fornece a camada de segurança e outra hospeda as caixas. É por isso que um gateway no caminho do e-mail não diz qual provedor realmente guarda a caixa, e um produto de segurança na frente não revela nada sobre a caixa por trás. As duas escolhas são feitas de forma independente, muitas vezes por equipes diferentes com orçamentos diferentes.

Como um gateway muda o caminho de um e-mail

Normalmente uma mensagem vai direto para o servidor de e-mail do domínio. Com um gateway, o domínio aponta o roteamento de e-mail para o gateway, então toda mensagem que chega passa por ele primeiro. O gateway inspeciona e, só se ela passar, encaminha para o servidor real onde a caixa está.

O destinatário não percebe nada disso. Para quem está de fora, o gateway é o sistema de e-mail do domínio, porque é a única parte que responde. Alguns gateways vão além e adiam de propósito remetentes desconhecidos, segurando um primeiro contato e só respondendo de verdade numa tentativa posterior.

Por que gateways atrapalham a verificação

A verificação depende de fazer uma pergunta direta ao servidor de e-mail e ler uma resposta direta. Um gateway quebra essa corrente. Como responde em nome do domínio, ele pode aceitar uma mensagem, ou segurá-la para inspeção, sem nunca consultar se a caixa por trás existe.

Então um verificador que pergunta por um endereço específico pode receber uma resposta de aceitação ou evasiva que reflete a política do gateway, e não o estado da caixa. O adiamento piora tudo, porque uma primeira tentativa retida parece um resultado inconclusivo mesmo quando a caixa é perfeitamente real. Quem responde à checagem padrão é a parte errada.

Um exemplo concreto ajuda. Um verificador sonda um endereço num domínio protegido por gateway. O gateway, seguindo suas próprias regras para remetentes desconhecidos, aceita a sondagem ou a adia. Nos dois casos o verificador registra uma resposta que veio do gateway, e não do servidor que sabe se a caixa existe. Nada da caixa real foi testado, e mesmo assim a checagem tem uma resposta para informar.

Um gateway não diz nada sobre a caixa ser real

Esta é a parte para guardar. A presença de um gateway diz que a empresa leva segurança a sério. Não diz absolutamente nada sobre um endereço específico por trás dele pertencer a uma caixa real e ativa. Um endereço morto e um vivo podem ficar atrás do mesmo gateway e parecer idênticos de fora, e é exatamente por isso que endereços protegidos por gateway acabam tantas vezes na mesma pilha não resolvida dos domínios catch-all.

Para quem faz marketing, isso importa por causa do alcance. Numa lista B2B, boa parte dos seus melhores contatos, os de empresas maiores e mais preocupadas com segurança, fica justamente atrás desses gateways. Descarte todos e você perde a ponta enterprise da sua lista. Envie às cegas e os bloqueios caem sobre a sua reputação de remetente. Para um único endereço, comece pela verificação de e-mail; se a sua lista está cheia deles, veja como tratamos e-mails protegidos por gateways SEG (em inglês).