Unser Engagement geht weiter: HTTPS-Innovation und -Optimierung

Innovation erfordert einen unermüdlichen Tatendrang. Sie bedeutet stundenlange Strategiesitzungen, unzählige Code-Reviews, Richtungswechsel und viel zu viele Folien mit Produkt-Roadmaps. Einen neuen Standard zu setzen, ist nie einfach, aber für uns ist es die Mühe immer wert.

Innovation erfordert einen unermüdlichen Tatendrang. Sie bedeutet stundenlange Strategiesitzungen, unzählige Code-Reviews, Richtungswechsel und viel zu viele Folien mit Produkt-Roadmaps. Einen neuen Standard zu setzen, ist nie einfach, aber für uns ist es die Mühe immer wert.

Dieser Tatendrang hat uns in über zehn Jahren nicht verlassen und setzt sich in jedem neuen Feature fort, das wir heute auf den Markt bringen. Von unseren Anfängen beim Inbound-Routing bis zur Entwicklung der ersten ESP-gesteuerten Validierungs-API hat unser Team die Zeit investiert, um für unsere Kundschaft noch einen Schritt weiter zu gehen. 

Wir freuen uns zwar, heute ein neues Feature ankündigen zu können, halten es aber für ebenso wichtig, das bereits Vorhandene zu iterieren und zu optimieren, um die Nutzererfahrung insgesamt zu verbessern. So können wir dem Entwicklungs- und Technikteam treu bleiben, das uns über die Jahre bei der Iteration geholfen hat, und gleichzeitig die Branche vorantreiben.

HTTPS-Link-Tracking war für viele ESPs lange Zeit so etwas wie der weiße Wal. In den Anfangstagen von Mailgun haben wir uns entschieden, keine geteilten Domains für das Signieren von Nachrichten und das Öffnungs-/Klick-Tracking zu verwenden, um das Risiko zu minimieren, dass sich die Kundschaft gegenseitig in ihrer Reputation beeinträchtigt.  Obwohl dies zu den Best Practices gehört, bedeutet es, dass jede Absenderdomain auf unserer Plattform über eine eigene Subdomain für das Öffnungs-/Klick-Tracking verfügt. 

Wenn Sie beispielsweise meowgun.com als Ihre Absenderdomain konfiguriert haben, wird der Host für das Öffnungs-/Klick-Tracking als email.meowgun.com eingerichtet. Das bedeutet, dass ein SSL-Zertifikat für diese Domain ausgestellt und auf dem neuesten Stand gehalten werden muss. Bei Millionen von Absenderdomains auf unserer Plattform wird ein scheinbar einfaches Problem in dieser Größenordnung zu einer echten Herausforderung.

Mit Blick auf Sicherheit und Datenschutz hat sich in der breiten Internet-Community „HTTPS everywhere“ durchgesetzt. Sämtliche Daten werden über einen sicheren Kanal übertragen, nicht nur selektive, sensible Daten. Dadurch werden mehr Menschen und Unternehmen vor Angriffen geschützt. Mit dieser Praxis schützen Sie Ihre Anwendungen vor Spoofing, Injections und Man-in-the-Middle-Angriffen.  

Es gab eine Reihe von Anreizen (oder Strafen), um die Einführung dieses Modells zu fördern, darunter:

• Suchmaschinen-Rankings: Google und andere Suchmaschinen berücksichtigen den Einsatz von Sicherheitspraktiken, einschließlich HTTPS, in ihren Rankings.
• Browser-Warnungen: Chrome und andere Browser haben schrittweise Warnungen wie „Nicht sicher“ eingeführt, wenn mit Nicht-HTTP-Websites interagiert wird.

Anfänglich hatten diese internetweiten Änderungen keine nennenswerten Auswirkungen auf den Inhalt von E-Mail-Nachrichten.  Bilder, Stylesheets und andere Ressourcen wurden oft über HTTP abgerufen, ohne eine Warnung für die Nutzerschaft auszulösen oder die Posteingangsplatzierung zu beeinträchtigen. 

Die Zeiten haben sich jedoch geändert.  Viele Webmail-Clients weigern sich mittlerweile, Bilder über HTTP zu laden, was zu einem verlorenen Öffnungsereignis und möglicherweise zu einer Nachricht führt, die nicht richtig gerendert wird. Schlimmer noch: Es gibt deutliche Hinweise darauf, dass E-Mail-Nachrichten mit unsicheren Inhalten versehentlich als Spam markiert werden könnten. 

Bisher bestand die einzige Lösung in der Nutzung von CDNs oder Proxys. Beide erfordern eine plattformexterne Konfiguration und bieten keine vollständige Ende-zu-Ende-Verschlüsselung. Obwohl sie funktionierten, waren diese Workarounds immer nur Brückenlösungen – wir wussten, dass wir es besser machen können.  

Unser Ziel für dieses Feature war es, unserer Kundschaft die „Einfach-Taste“ zu bieten.  Wir wollten eine simple Ein-Klick-Lösung entwickeln, die sicher ein Zertifikat beschafft und speichert, unsere Systeme konfiguriert und Links für alle neu gesendeten Nachrichten über HTTPS umschreibt.  Wir wollten insbesondere sicherstellen, dass die Kundschaft ihre Zertifikate nicht selbst hochladen oder Verwaltungsaufgaben wie die regelmäßige Erneuerung übernehmen muss.

Let’s Encrypt, eine kostenlose, automatisierte und offene Zertifizierungsstelle, die Zertifikate für über 260 Millionen Websites bereitstellt, bildete die Grundlage unserer Lösung.  Let’s Encrypt ermöglicht es uns, kurzlebige Zertifikate für jede Tracking-Domain auf unserer Infrastruktur programmatisch bereitzustellen und zu aktualisieren.

Unsere Lösung besteht aus drei Komponenten: Domain-Validierung, Zertifikatsausstellung und Terminierung:

• Domain-Validierung: Über das ACME-Protokoll validieren wir durch die Beantwortung einer „Challenge“, dass wir autorisiert sind. In unserem Fall nutzen wir eine HTTP-01 -Challenge, die auf eine HTTP-Anfrage an einem bestimmten Ort antwortet. Die entsprechende Antwort auf diese Anfrage beweist, dass wir berechtigt sind, ein Zertifikat für die Tracking-Domain zu erhalten.
• Zertifikatsausstellung: Sobald wir autorisiert sind, fordern wir Zertifikate für die validierte Tracking-Domain an und erneuern sie. Unser Dienst generiert automatisch eine Zertifikatsignierungsanforderung, übermittelt sie an die Let’s Encrypt-Zertifizierungsstelle und ruft das Zertifikat ab.  Als Best Practice werden Zertifikate für einen Zeitraum von 60 Tagen ausgestellt und automatisch erneuert.  Das X.509-Schlüsselpaar wird im Ruhezustand (Data at Rest) mit AES-256 verschlüsselt gespeichert.
• Terminierung: Wir haben einen leistungsstarken HTTPS-Server entwickelt, der es uns ermöglicht, TLS-Anfragen für Tausende von Kundendomains zu terminieren und die Anfrage innerhalb unserer Umgebung an unsere Tracking-Infrastruktur weiterzuleiten. 

Durch die Kombination dieser drei Funktionen können wir eine vollautomatisierte Lösung zur Aktivierung von HTTPS für Ihre Öffnungs-/Klick-Tracking-Links anbieten. Keine CDN-Workarounds mehr; wählen Sie einfach die Domain, für die Sie das HTTPS-Link-Tracking aktivieren möchten, im Dropdown-Menü aus. Leicht, einfach und intuitiv; genau das, was wir erreichen wollten. 

Das HTTPS-Link-Tracking ist jetzt für unsere Scale- und Enterprise-Kundschaft verfügbar. Wenn Sie sich genauer ansehen möchten, wie Sie das HTTPS-Link-Tracking aktivieren, lesen Sie unseren Hilfeartikel. 

Der Tatendrang, der uns antreibt, Neues zu schaffen, zwingt uns auch dazu, uns zu verbessern. Während neuere Features in den Vordergrund rücken, gibt es auch Updates und Verbesserungen in anderen Bereichen unserer Plattform. Im vergangenen Jahr haben wir unsere Dokumentation und die Sicherheitsmaßnahmen für Mailgun-API-Konten erheblich verbessert. 

Im vergangenen Jahr wollten wir die Langlebigkeit unserer SDKs und der Developer Experience durch umfassende Updates all unserer technischen Ressourcen. gewährleisten. Durch diese Updates haben wir zahlreiche Optimierungen implementiert, um die Nutzererfahrung, die Sicherheit und die allgemeine SDK-Nutzbarkeit für unsere Programmiersprachen zu verbessern. Bis heute haben wir neue Versionen unserer PHP, JavaScript, Ruby und Go SDKs für Mailgun veröffentlicht, wobei ein neues Python- und Java-SDK im Laufe dieses Jahres folgen werden. Dank dieser aktualisierten SDKs und der Updates unserer Dokumentation benötigt das Entwicklungsteam weniger Zeit, um Mailgun in seine Anwendungen zu implementieren. Weniger Zeit für die Implementierung bedeutet mehr Zeit für die Absicherung von E-Mail-Streams, das Testen und dafür, alles reibungslos zum Laufen zu bringen.

Anfang dieses Jahres haben wir voller Stolz unsere Single-Sign-On-Unterstützung via SAML 2.0 über unser SAML-Single-Sign-On (SSO) Funktion. angekündigt. SAML-SSO ermöglicht es dem Versandteam, seine Kontosicherheit zu erhöhen und die Nutzerschaft nahtlos zu verwalten – und das alles über den Identity-Provider seiner Wahl. Bei der Implementierung des SAML 2.0-Protokolls in Mailgun wollten wir sicherstellen, dass wir eine Vielzahl von IDPs wie Okta, Auth0, OneLogin, ADFS und AWS IAM unterstützen. Ausführlichere Anleitungen zur Implementierung von SSO finden Sie in unserem ein Helpcenter.

Einführungen wie das HTTPS-Link-Tracking, SDK-Updates und SAML-SSO bringen die E-Mail-Branche auf subtile Weise voran. Komfortverbesserungen bewirken Wunder bei der Optimierung von Entwicklungs-Workflows und Implementierungszeiten, und strengere Sicherheitsmaßnahmen bedeuten, dass der Versand für alle sicherer wird. Zusammengenommen sind solche Verbesserungen der Motor für noch größere Innovationen in der E-Mail-Branche und bei der Art und Weise, wie wir miteinander kommunizieren. 

Wenn Sie an einer der oben genannten Neuerungen interessiert sind oder mehr über unsere Versandplattform erfahren möchten, kontaktieren Sie unsere E-Mail-Fachleute, und wir werden alle Ihre Fragen beantworten. 

Autor: Chris Farmer Chris Farmer is a Product Manager at Sinch Mailgun. He's an expert feature mapper, dev communicator, and email officianado who tells it like it is. He writes about product developments, and innovative email tips and tricks.