邮件作为日常工作通讯中不可或缺的工具，其安全性一直是个备受关注的话题。Webmail是企业邮箱用户日常邮箱使用的一个重要访问终端，企业邮箱，承载着企业机构重要业务内容及关键数据，这个环节上的安全问题会对企业机构产生深刻的影响，信息安全建设的重要性不言而喻。网易企业邮箱技术团队充分考虑各类安全风险点，从多个层面保障webmail用户的使用需求。

一、网站安全威胁分析

站点侵入

黑客利用技术手段如sql注入、敏感文件扫描等获取管理员侵入网站后台，并在站点添加暗链、植入恶意代码等。

该类安全威胁主要源于网站验证防护措施少，网站管理员安全意识缺乏，事后缺少检测手段导致。

程序协议漏洞

网站服务端程序版本过低，而出现漏洞，如低版本的ssl协议、PHP、Tomcat等。

管理员未及时更新，均会导致漏洞暴露。

DDoS攻击

利用多种攻击手段，伪造大量访问占用服务器资源，从而影响正常用户访问。

DDoS作为常见攻击手段，大型站点都有完备的防护措施，主要影响的还是一些成本不足的小网站。

二、网易企业邮箱安全防护方案

稳固的基础架构

整体系统架构出于对用户数据安全考虑，采用内外网分离的架构，用户必须且仅能通过公网应用代理访问邮箱数据。该架构可有效防止从公网环境直接跳过身份认证攻击窃取服务端数据。

完善的运维管理体系

网易企业邮箱运维团队具备超过20年的邮箱系统运维经验，针对潜在的安全威胁，建立了一套完整的运维机制提供保障。

SOC安全运维中心，周期性进行漏洞扫描，由专人对系统漏洞进行修复。

自研NHIDS系统，实时扫描恶意代码，防止用户webmail页面代码被人篡改。

安全预警机制，一旦出现类似DDoS、服务器入侵事情，即时进行响应，保障业务正常。

严谨的身份验证机制

网易企业邮箱为防止拥有管理权限的帐号泄漏，制定了一套的严格的身份验证机制保护管理员帐号。

多因子认证，所有管理员角色均需要强制绑定手机，登录管理服务平台时，均需要进行二次短信认证或将军令认证。

登录限制。针对帐号的登录限制包括有登录协议方式、登录ip、登录地区。

      三、Webmail安全防护建议

为了保障企业Webmail的安全，建议采用以下必要的防护操作。

采用标准化登录入口

网易提供登录页面模板及自定义上传代码两种模式，可以满足用户修改登陆页面的各类需求，建议用户在服务后台的登陆页面内进行修改调整，将企业邮箱入口指向到网易，而不是自主web服务上。

启用HTTPS

建议上传自有域名的ssl证书，可保证访问Webmail时全程采用https。通过https可有效防止数据的窃取及伪造，消除域名劫持导致的访问风险。

提高帐号安全防护等级

针对管理员帐号，特别是权限较高的帐号，建议在帐号安全模式中，采用高级安全模式。

安全性、稳定性、私密性是电子邮箱的生命线，网易企业邮箱始终坚持将“安全稳定”放在最重要的位置，持续在安全防护领域投入资源，帮助企业“连通世界”。如在安全防护设置方面有任何问题，请致电网易企业邮箱官方客户服务热线：95-163-188，服务邮箱：kf@qiye.163.com，网易企业邮箱技术团队为您服务。