对于如今的大多数企业来说，电子邮件是合同、客户沟通、财务交易和内部决策的主要渠道。这使得电子邮件归档和定义明确的保留政策不仅是IT问题，而是法律、业务和风险管理的必要条件。本指南涵盖了从电子邮件归档实际是什么，到如何构建保留时间表、在邮件服务器上配置归档以及遵守数据保护法律的所有内容。
什么是电子邮件归档以及为什么您的业务需要它?
电子邮件归档是自动捕获组织发送和接收的每封电子邮件的副本并将其存储在单独的、可搜索的、防篡改的存储库中的过程 — 不同于用户的实时邮箱。与标准备份不同，存档是为长期合规检索而构建的，而不仅仅是用于灾难恢复。
业务实施电子邮件归档的关键原因包括：
- 法律合规 — 各种法律要求企业在定义的期限内保留业务记录。电子邮件通常符合业务记录的条件，尤其是当它们记录交易、协议或决定时。
- 内部和外部审计支持 — 审计员可以立即搜索存档电子邮件，减少在财务或业务审计期间生成证据所需的时间和精力。
- 诉讼和纠纷解决 — 在法律诉讼中，正确存档的电子邮件可以作为证据被接纳，并可以通过证明所交流或未交流的内容来保护业务。
- 电子数据取证和数据恢复 — 如果员工离职或意外删除重要邮件，存档会保留这些通信，无论邮箱发生什么情况。
- 业务连续性 — 即使在邮件服务器中断或迁移期间，关键通信历史仍可访问。
电子邮件归档 vs 电子邮件备份 vs 日志
这三个概念常常被混淆。在设计任何解决方案之前，理解区别至关重要：
| 方法 | 主要目的 | 粒度搜索 | 防篡改 | 典型保留 |
|---|---|---|---|---|
| 电子邮件存档 | 合规、审计、法律保留 | 是（全文） | 是（不可变） | 多年（按政策） |
| 电子邮件备份 | 灾难恢复 | 否（批量恢复） | 否 | 30-90天 |
| 电子邮件日志 | 实时副本捕获 | 取决于系统 | 取决于系统 | 与存档一起使用 |
日志是在传输层截取每封电子邮件副本的技术机制 — 在到达收件人邮箱之前 — 并将其转发到存档。这是使存档真正防篡改的原因：用户可以从收件箱中删除，但存档中的日志副本保持不变。
建立电子邮件保留政策
保留政策定义了必须保留哪些电子邮件、保留多长时间，以及保留期届满时会发生什么 — 自动删除、迁移到冷存储或上报手动审查。精心设计的政策可以降低存储成本、限制法律风险，并使PDPA合规性变得更简单。
建立有效政策的步骤：
- 按类型对电子邮件进行分类 — 定义类别，如商业通信、合同、人力资源通信、客户支持、内部一般和财务。每个类别可能有不同的法律要求。
- 映射适用的法律 — 泰国会计法要求5年的文件保留。PDPA 要求个人数据不得保留超过必要时间。与合同相关的电子邮件应符合民法和商法典下的10年一般诉讼时效期。行业特定法规（金融、医疗）可能会增加进一步的要求。
- 设置合理的默认值 — 对于未分类的电子邮件，3-5年的默认值很常见，可满足大多数一般业务需求。
- 定义法律保留流程 — 当诉讼或调查开始时，相关电子邮件必须被冻结，以暂停正常删除，直到该事项结束。
- 在内部宣传政策 — 员工必须了解业务电子邮件受归档和保留的约束。这既是PDPA透明度要求，也是防止隐蔽删除的实际需要。
- 每年审查政策 — 法律会变化，您的业务操作也会变化。安排每年审查保留期和类别。
使用 BCC 日志在 Postfix 上配置电子邮件归档
对于运行自己的 Linux 邮件服务器（使用 Postfix）的组织来说，实现基本归档的最快方法是使用 always_bcc 或 sender_bcc_maps / recipient_bcc_maps 指令将每封电子邮件的静默副本转发到专用存档邮箱。
归档所有出站电子邮件
# /etc/postfix/main.cf # Send a BCC of every outbound message to the archive mailbox always_bcc = [email protected] # Or use sender_bcc_maps for domain-level control sender_bcc_maps = hash:/etc/postfix/sender_bcc # /etc/postfix/sender_bcc @yourdomain.com [email protected] # Rebuild hash table and reload postmap /etc/postfix/sender_bcc systemctl reload postfix
归档所有入站电子邮件
# /etc/postfix/main.cf recipient_bcc_maps = hash:/etc/postfix/recipient_bcc # /etc/postfix/recipient_bcc @yourdomain.com [email protected] postmap /etc/postfix/recipient_bcc systemctl reload postfix
配置日志记录后，存档邮箱会捕获每条邮件。然后，您可以应用任何基于 IMAP 的归档软件（如 MailStore、imaparchive 或自定义 Elasticsearch 管道）来索引、搜索和管理该邮箱上的保留。
Microsoft 365 和 Google Workspace 中的电子邮件归档
对于已使用主要云电子邮件平台的组织，内置归档工具是最实用的起点。
Microsoft 365 — 就地存档和诉讼保留
Microsoft 365 商业高级版及更高版本的计划包括就地存档（自动扩展的辅助邮箱）和法律保留功能以进行法律保护。这些通过 Microsoft Purview Compliance 门户或 PowerShell 进行管理：
# Enable In-Place Archive for a user Enable-Mailbox -Identity [email protected] -Archive # Verify archive status Get-Mailbox -Identity [email protected] | Select ArchiveStatus, ArchiveQuota # Enable Litigation Hold with a 5-year duration (1825 days) Set-Mailbox -Identity [email protected] ` -LitigationHoldEnabled $true ` -LitigationHoldDuration 1825 # Create a Retention Policy with a 5-year deletion tag New-RetentionPolicyTag "5 Year Permanent Delete" ` -Type All ` -AgeLimitForRetention 1825 ` -RetentionAction PermanentlyDelete New-RetentionPolicy "Company Email Retention Policy" ` -RetentionPolicyTagLinks "5 Year Permanent Delete"
Google Workspace — 金库
Google Vault（包含在 Google Workspace 商业版加及更高版本中）为 Gmail、Drive 和 Chat 提供保留规则、保留和导出。保留规则在管理控制台的应用程序 > Google Workspace > 金库下配置，或通过 Vault API 配置：
# Google Vault API — Create a Retention Rule (Python, using google-auth)
from googleapiclient.discovery import build
from google.oauth2 import service_account
SCOPES = ['https://www.googleapis.com/auth/ediscovery']
credentials = service_account.Credentials.from_service_account_file(
'vault-service-account.json', scopes=SCOPES)
vault = build('vault', 'v1', credentials=credentials)
# Create a 5-year retention rule for all Gmail
rule_body = {
'corpus': 'MAIL',
'defaultOperation': 'EXPUNGE',
'retentionDuration': '157680000s', # 5 years in seconds
'scope': {'includeSharedDriveFiles': False}
}
response = vault.matters().holds().create(matterId='your-matter-id', body=rule_body).execute()
电子邮件归档的 PDPA 考虑事项
泰国《个人数据保护法》(PDPA) 与电子邮件归档之间产生了组织必须谨慎应对的紧张关系。存档的电子邮件几乎肯定包含个人数据 — 客户名称、地址、电子邮件地址以及可能敏感的信息，如健康或财务信息。
要应用于存档的关键 PDPA 原则：
- 建立合法依据 — 归档最具防守性的依据通常是合法利益（用于业务连续性和纠纷解决）或法律义务（其中特定法律要求文件保留）。以书面形式记录您的依据。
- 在隐私声明中披露归档 — 告知员工、客户和其他数据主体，电子邮件通信可能因合规目的而被保留，以及保留多长时间。
- 限制对存档的访问 — 只有指定的管理员或合规官员才能搜索存档。记录每次访问。
- 处理主体访问请求 (SAR) — 您必须能够定位、提取，以及在请求时删除存档中保存的个人数据。这需要精心设计的搜索界面和清晰的删除工作流程。
- 设置最大保留期 — 不要无限期存档个人数据。在您定义的保留期届满后配置自动删除，并在处理活动记录 (RoPA) 中记录这一点。
- 保护存档 — 应用传输中和静止时的加密。限制对存档基础设施的网络访问。将存档包含在您的定期安全和数据泄露响应程序中。
实际提示：在启用电子邮件归档之前，请咨询您的数据保护官 (DPO) 先定义保留时间表。在没有定义最大保留期的情况下存档电子邮件实际上比根本没有存档更风险 — 因为您随后无限期地保留个人数据而没有合法理由。
选择正确的归档解决方案
正确的解决方案取决于您的组织规模、IT 能力和合规义务：
本地归档软件
适合想要完全数据主权并拥有内部 IT 员工的中大型组织：
- MailStore Server — 受欢迎的以中小企业为中心的存档，具有清晰的网络 UI、全文搜索以及 Exchange、Microsoft 365 和 IMAP 服务器的连接器。
- Barracuda Message Archiver — 基于设备的解决方案，适用于需要集成合规性和电子数据取证工作流程的组织。
- OpenMailArchive — 开源选项，适合预算有限且熟悉 Linux 管理的 IT 团队。
云存档服务
按使用付费的云归档非常适合中小企业和已使用云电子邮件的组织：
- Mimecast Archive — 在单一平台上结合云电子邮件安全、连续性和归档。
- Proofpoint Essentials Archive — 经济高效的中小企业合规归档。
- Microsoft Purview Compliance — 对于完全致力于 Microsoft 365 生态系统的组织来说最佳选择；包括存档、电子数据取证、法律保留和数据丢失防护。
使用开源（Postfix + Elasticsearch）自做
# Minimal docker-compose.yml for a self-hosted email archive stack
version: '3.8'
services:
elasticsearch:
image: docker.elastic.co/elasticsearch/elasticsearch:8.12.0
environment:
- discovery.type=single-node
- xpack.security.enabled=false
- ES_JAVA_OPTS=-Xms512m -Xmx512m
volumes:
- esdata:/usr/share/elasticsearch/data
kibana:
image: docker.elastic.co/kibana/kibana:8.12.0
ports:
- "5601:5601"
environment:
- ELASTICSEARCH_HOSTS=http://elasticsearch:9200
mailparser:
image: python:3.11-slim
volumes:
- /var/spool/archive:/mail
- ./scripts:/app
command: python /app/mail_to_es.py
volumes:
esdata:
使用此堆栈，mailparser 容器从磁盘读取日志电子邮件，解析标题和正文，并将其索引到 Elasticsearch 中。Kibana 为管理员提供搜索界面。在部署到生产环境之前，添加身份验证和 TLS。
常见问题
电子邮件归档和电子邮件备份有什么区别?
电子邮件备份为灾难恢复目的创建邮箱数据的定期快照 — 当服务器故障时恢复所有内容。电子邮件归档在实时捕获每封电子邮件到防篡改存储中，支持粒度全文搜索以用于合规和法律目的。存档是不可变的；用户无法永久删除存档的电子邮件，即使他们将其从收件箱中删除。
业务应该保留电子邮件多长时间?
保留期取决于电子邮件类型和适用法律。一般业务通信应根据泰国会计法保留至少5年。与合同相关的电子邮件应保留10年，与一般诉讼时效相符。HR 电子邮件应保留雇用期间加5年。包含个人数据的电子邮件应具有与 PDPA 要求相符的定义的最大保留期，并在该期间届满时删除。
小型企业是否需要电子邮件归档?
虽然泰国法律没有明确要求每个企业都运行正式的存档系统，但 PDPA 要求组织在请求时证明个人数据如何被处理。任何通过电子邮件与客户沟通或通过电子邮件处理订单和报价的企业都应实施至少基本归档 — 例如，在其邮件服务器上启用日志 — 以满足这些问责义务。
如果用户删除电子邮件，是否仍可在存档中找到?
是的，这是电子邮件归档的核心原则。存档在传输点存储每条邮件的副本，在到达用户邮箱之前。这意味着即使用户永久删除收件箱或已发送项目中的电子邮件，存档副本仍然完整并可供管理员完全搜索。