MTA-STS يتيح لمجال الاستقبال نشر التوقعات الخاصة بتسليم TLS المصادق عليه. وهو يعالج اتصال SMTP بالخدمة المتلقية. ولا يقوم بالمصادقة على عنوان مؤلف الرسالة أو تشفير الرسالة على طول الطريق من جهاز شخص إلى آخر.
يربط النشر العملي بين ثلاثة أشياء: مسارات MX الواردة الفعلية للنطاق، وسياسة HTTPS، وسجل DNS الذي يشير إلى تلك السياسة. توفر تقارير TLS مسارًا منفصلاً للتعليقات.
تحديد حدود الاستقبال الحقيقية
مراجع: RFC 8461 §3.4, RFC 8461 §4.
قم بإدراج مضيفي MX الذين يقبلون البريد للمجال، بما في ذلك خدمات النسخ الاحتياطي وبوابة الأمان الأولية. تحقق من سلوك TLS والشهادة على حدود الاستلام العامة الفعلية، وليس فقط على خادم صندوق بريد داخلي.
سجل من يملك مسار MX واستضافة السياسة وتجديد الشهادة ووجهة إعداد التقارير. لا تستضيف خدمة صندوق البريد المستضافة بالضرورة سياسة MTA-STS الخاصة بالعميل أو تقوم بتشغيل كل بوابة أمامها.
تقييم النطاقات الفرعية بشكل منفصل. لا يستخدم MTA-STS وراثة السياسة الأصلية بنمط DMARC. يحتاج النطاق الفرعي المتلقي إلى التكوين المطبق على هذا المجال.
بناء سياسة للمضيفين الفعليين
مراجع: RFC 8461 §3.2, RFC 8461 §3.3.
قم بخدمة السياسة من موقع HTTPS المطلوب لمجال الاستلام. على example.com ، الموقع هو https://mta-sts.example.com/.well-known/mta-sts.txt. تحتاج خدمة HTTPS إلى شهادة صالحة لاسم مضيف السياسة الخاص بها.
تحدد السياسة إصدارها ووضعها وأنماط MX المسموح بها والحد الأقصى لعمر ذاكرة التخزين المؤقت. ابدأ بنشر اختبار مناسب للنطاق وافحص النتائج قبل التنفيذ. اختر فترة المراقبة من حركة المرور الحقيقية والتبعيات بدلاً من التعامل مع مدة العينة كدليل عالمي.
السياسة التوضيحية لنطاق MX فردي خيالي هي:
الإصدار: وضع STSv1: اختبار mx: mx1.example.net max_age: 86400يفترض هذا المثال أن mx1.example.net هو المضيف المتلقي الفعلي للمجال ويتمتع بدعم SMTP TLS المناسب. إنها ليست سياسة جاهزة لمزود آخر. قم بمطابقة المضيفين المسموح بهم بدقة وقم بتضمين كل مسار استلام شرعي.
نشر الاكتشاف والإبلاغ بشكل منفصل
مراجع: RFC 8461 §3.1, RFC 8461 §8.1, RFC 8460 §3.
في _mta-sts.example.com ، قيمة TXT التوضيحية هي v=STSv1; id=2026110701. يشير المعرف إلى مراجعة السياسة. قم بنشر السياسة والتحقق منها قبل الإعلان عن نسختها الجديدة في DNS .
TLS-RPT يستخدم السجل الخاص به في _smtp._tls.example.com . الطلب التوضيحي هو v=TLSRPTv1; rua=mailto:tls-reports@example.com, بافتراض أن العنوان موجود وأن مسار المجموعة الخاص به يعمل.
لا تفترض أ DMARC تتلقى وجهة rua تقارير TLS تلقائيًا، أو أن اختبار MTA-STS وحده ينشئ طلبًا فعالاً لإعداد التقارير. تحقق من كل سجل بالاسم الصحيح وكل وجهة من خلال عملية التجميع الخاصة بها.
اختبار السلسلة المنتشرة
مراجع: RFC 8461 §4, RFC 8461 §6.
قم بإحضار السياسة خارجيًا وتأكد من أن نقطة نهاية HTTPS المطلوبة تخدم نص النص العادي المقصود باستخدام HTTP 200. لا تتبع عمليات إعادة توجيه HTTP: إعادة التوجيه ليست جلب سياسة صالحًا بموجب RFC 8461 §3.3. تحقق من اكتشاف DNS وقارن جميع مسارات MX المُعلن عنها بالأنماط المسموح بها.
اختبار SMTP TLS والتحقق من صحة الشهادة في كل مسار استلام. لا تثبت شهادة الويب العاملة على mta-sts.example.com أن خادم MX يقدم شهادة SMTP صالحة.
مراجعة تقارير TLS المتاحة وأدلة التسليم المراقب. تختلف خدمات الإرسال في المشاركة، لذا فالصمت لا يؤسس لنجاح عالمي. احتفظ بالمراسل والفاصل الزمني و MX المتأثر مع كل ملاحظة.
في الحالة الاصطناعية، تسمح السياسة فقط بالبوابة الرئيسية بينما يعلن DNS أيضًا عن نسخة احتياطية MX . تقبل النسخة الاحتياطية البريد في الاختبارات العادية ولكنها تفشل في مطابقة السياسة. إصلاح السياسة أو تصميم التوجيه قبل التنفيذ؛ لا ترفض النسخة الاحتياطية لأن حجمها اليومي صغير.
خطط التنفيذ والاسترداد حول ذاكرات التخزين المؤقت
مراجع: RFC 8461 §5, RFC 8461 §8.3.
يمكن أن يمنع وضع الفرض المرسلين الداعمين من التسليم عبر اتصال غير متوافق. المرسلون غير الداعمين هم خارج هذا الضمان. سجل التبعية والاستجابة التشغيلية المقبولة قبل تغيير الوضع.
يمكن أن تحتفظ ذاكرات التخزين المؤقت للمرسل بالسياسات السابقة الصالحة للحد الأقصى لعمرها. لا يعد حذف اكتشاف DNS أو إزالة نقطة نهاية HTTPS تراجعًا عالميًا فوريًا. بالنسبة للسحب، قم بنشر وضع صالح: لا توجد سياسة ذات عمر قصير، ثم قم بتحديث معرف الاكتشاف. احتفظ بنقطتي النهاية متاحتين حتى تنتهي صلاحية جميع السياسات السابقة، بما في ذلك المراجعات الأقدم ذات العمر الأطول. قم بحساب كل فترة زمنية منذ آخر مرة تم فيها تقديم هذه المراجعة، وليس فقط من التعديل التالي.
بالنسبة لترحيل البوابة، اجعل السياسة متوافقة مع النقل المخطط له، وتحقق من المسار الجديد واسمح بالإصدارات المخزنة مؤقتًا. احتفظ بنقطة نهاية السياسة متاحة بينما يظل بإمكان المرسلين المعنيين الاعتماد عليها.
يجب أن تشمل عملية التسليم تكوين MX وسجل السياسة وملكية الشهادة ومعالجة التقارير. تظل MTA-STS مفيدة عند الحفاظ على تلك الأجزاء المتحركة معًا.