Quão seguro é o servidor SMTP de nossa empresa se a função PHP MAIL puder usá-lo?

Question

Minha empresa acaba de mudar de ter nosso e-mail hospedado através de uma empresa de hospedagem para hospedá-lo.

Eu tenho usado a função de correio do PHP para formulários em nosso site e como a empresa de hospedagem que usamos não hospeda mais nossos e-mails, eu tive que trocar o servidor smtp da função de correio PHP para apontar para o servidor smtp hospedado na empresa.

Eu apontei com sucesso o e-mail enviado usando a função de e-mail php para o novo servidor smtp e tudo parece estar funcionando.

Estou um pouco preocupado, porque nenhum nome de usuário ou senha é necessário para a função de e-mail php.

Ninguém pode apontar para o nosso servidor e emular um dos nossos endereços de e-mail?

    

Answer 1

Potencialmente, mas não necessariamente.

Você não disse exatamente como os formulários PHP no seu website funcionam, mas presumo que eles sejam usados para permitir que os visitantes do seu site enviem uma mensagem para alguém da sua empresa. Presumivelmente, o formulário agrupa a mensagem em um e-mail para alguém no domínio de sua empresa e, em seguida, a envia para seu servidor de e-mail via SMTP.

O fato de seu servidor de e-mail aceitar SMTP de qualquer lugar sem um nome de usuário / senha não é prejudicial, desde que faça isso apenas para mensagens endereçadas ao seu domínio. É assim que os e-mails recebidos são processados pelo seu servidor de e-mail.

Seria perigoso, no entanto, se o seu servidor de correio aceitasse SMTP de qualquer lugar sem um nome de usuário / senha, nos casos em que a mensagem fosse endereçada a um domínio diferente. Isso significa que seu servidor de e-mail está agindo como um retransmissor, que pode ser explorado por spammers e falsificadores de e-mail.

    

Answer 2

Eu não recomendaria a permissão de um SMTP aberto, mesmo para e-mails endereçados ao seu domínio. A lógica é que spam / falsificações de e-mail podem ser direcionadas a seus funcionários por um hacker / ex-funcionário experiente. Será um susto enviar um email marcado para "Everyone @ company" do CEO transmitido através da empresa SMTP.

Por que você não usa auth com seu SMTP para esses formulários PHP? Você poderia configurar os parâmetros de autenticação no SendMail por exemplo Ou limite o acesso SMTP ao endereço IP desse servidor.