【导读】政务类单位若未按规启用端到端加密与密钥生命周期管控，极易触发监管通报。新网企业邮箱已通过国家密码管理局商用密码认证，支持SM6+国密SSL双模加密体系。

政策趋严倒逼加密能力升级

自2023年《电子公文交换系统安全要求》实施以来，全国超82%省级行政机关完成邮件系统国产化改造。但审计发现，近六成单位存在TLS协商失败后仍允许明文传输、数字证书过期未轮换、SMTPS端口禁用却未强制STARTTLS等问题。

五类高频配置失误及后果

- 启用TLSv1.0/TLSv1.1协议：无法满足等保三级对强算法的要求；
- SMTP/IMAP未绑定客户端证书双向验证：外部攻击者可通过伪造凭证接入内部投递链路；
- 密钥存储于默认数据库而非HSM硬件模块：违反GB/T 39786—2021第5.3条物理隔离规定；
- 加密日志留存不足90天：不符合《网络安全法》第二十一条存证时限；
- 全局开启DKIM签名但未同步更新DNS TXT记录：造成验签失效并被判定为仿冒源。

新网全球邮三步闭环加固方案

1. 自动检测引擎扫描现有MX解析与SPF/DKIM/DMARC三项配置完整性；
2. 国产密码模块预置SM4-SM3组合加解密通道，默认关闭非国密握手流程；
3. 提供可视化密钥管理中心，支持RSA2048/SM2双轨密钥生成、吊销与归档全周期管理。

运维人员必查清单

- 是否已在后台「安全管理→加密设置」中勾选「拒绝不兼容TLS版本连接」；
- DNS托管是否已完成CAA记录声明（指定仅授权新网CA颁发证书）；
- 所有部门账户是否均已分配专属子域证书（如gov.xinnet.com），杜绝通配符滥用；
- 近三个月是否有异常登录IP尝试绕过OTP二次校验行为告警。

结语

邮件加密不是功能开关，而是贯穿域名注册、证书申请、路由转发、终端收发的全流程治理工程。新网企业邮箱持续适配中央网信办最新评估指标，在工信部专项抽查中连续三年零整改项。当前正面向各级行政事业单位开放免费加密健康度诊断服务。

相关问题：
• 如何判断我单位使用的旧版Exchange服务器是否存在TLS降级漏洞？
• 新网全球邮能否对接本地LDAP目录实现分级密钥权限下发？

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。