Tjek en afhængighedskæde i stedet for én TXT værdi
MTA-STS afhænger af opdagelse, en autentificeret HTTPS-politik og de modtagende mail-værter, der er beskrevet af denne politik. EN TXT post der ser korrekt ud, kan eksistere side om side med en uopnåelig politikfil eller et MX certifikat, der ikke matcher. En nyttig checker rapporterer derfor hver fase separat og forklarer, hvilke senere konklusioner der ikke kunne nås efter en tidligere fejl.
Denne vejledning foreslår den diagnostiske adfærd uden at levere et fungerende EmailAuth værktøj. Intet DNS opslag, HTTPS-hentning mod et kundedomæne, SMTP forbindelse eller politikændring skete. Den nøjagtige implementeringsport er åben: Implementer og test den lovede funktion. En artikel, mock-up eller specifikation alene er ikke et arbejdsredskab.
Udled opdagelse fra det tilsigtede modtagerpolitikdomæne
Start med det politikdomæne, der skal evalueres, og notér, hvorfor det er i omfang. Discovery-ejeren er _mta-sts efterfulgt af dette domæne. Under RFC 8461 kræver opdagelsesfiltre for den understøttede version én brugbar matchende TXT post og accepterer en CNAME stien til TXT værdien. Flere tegnstrenge inden for en TXT post er sammenkædet uden indsatte mellemrum; flere matchende poster er et andet problem.
Id-feltet identificerer en politikrevision, men har ingen underforstået numerisk eller kronologisk rækkefølge. En checker bør bevare den nøjagtige identifikator i stedet for at antage, at en streng, der ser større ud, er nyere. Fravær af en brugbar registreringsregistrering fjerner ikke automatisk en politik, som en afsender allerede har cachelagret. RFC 8461 , afsnit 3.1.
Godkend politikværten og undersøg det nøjagtige svar
Den foreskrevne URL bruger https, mta-sts værtsetiketten og /.well-known/mta-sts.txt. For fiktiv recipient.example bliver det https://mta-sts.recipient.example/.well-known/mta-sts.txt. Dette er en konstrueret illustration, ikke en hentet ressource. Politik-værtscertifikatet skal være gyldigt for denne vært, uudløbet og kædet til en rod, som afsenderen har tillid til.
RFC 8461 kræver et HTTP 200-svar, forbyder at følge HTTP-omdirigeringer og forbyder HTTP-cache til hentning af politikker. Det anbefaler at kontrollere tekst/almindeligt medietype. En checker, der følger en omdirigering til en hjemmesides hjemmeside og derefter rapporterer succes, har evalueret den forkerte adfærd. Skelne DNS opløsning, forbindelse, certifikat, status og politik-parsing fejl. En certifikatfejl er et resultat for at forklare, ikke tilladelse til at omgå en sikkerhedsadvarsel. RFC 8461 , afsnit 3.2-3.3.
Bundet hentningstid og svarstørrelse. En implementering på serversiden skal også kontrollere udgående destinationer, så et indsendt navn ikke kan forårsage anmodninger til interne tjenester eller metadataendepunkter. Anvend netværksbegrænsninger og valider den faktiske destination, inklusive adresseændringer, i stedet for kun at stole på et venligt værtsnavn. Disse er foreslåede designkrav, ikke implementerede forsvar. OWASP SSRF forebyggelsesvejledning.
Parse-tilstand, levetid og MX omfang sammen
Politikken erklærer version, tilstand, max_age og tilladte MX mønstre, med MX krav afhængige af politiktilstanden. Hver tilladt MX indgang optager sin egen linje. En politiks max_age styrer dens levetid i afsenderpolitikcaches, ikke DNS TTL eller en HTTP-cachekontroloverskrift. Vis disse separate koncepter i stedet for at kalde alle tre udbredelsestid.
Sammenlign hver relevant MX kandidat med de tilladte mønstre. RFC 8461 begrænser et jokertegn til hele etiketten længst til venstre: *.example matcher mail.example , men ikke eksempel eller abexample . En bred visuel sammenligning af delstrenge er derfor uegnet. Behold kandidatværten og det nøjagtige mønster, der matchede eller mislykkedes. En legitim backup MX udeladt fra en håndhævelsespolitik kan blive et tilgængelighedsproblem. RFC 8461 , afsnit 3.2 og 4.1.
Forveksle ikke webstedscertifikatet med SMTP validering
HTTPS-politikcertifikatet godkender politikhentning. Den modtagende MX behøver separat STARTTLS og et passende certifikat for sit eget værtsnavn. En vellykket hjemmesidehentning viser ikke SMTP serverens konfiguration. Enhver senere autoriseret aktiv test bør beholde den valgte vært, forbindelseskontekst, certifikatidentitet og tillidsresultat, med værktøjets faktiske omfang angivet.
En checker, der kun læser DNS og HTTPS, bør rapportere SMTP stadiet som utestet, ikke sundt. En kontrol af én kandidat beviser heller ikke, at hver MX opfører sig på samme måde. Senderimplementering og tillidsbutikker påvirker observationer, så en enkelt diagnostisk udsigt er ikke en garanti for hver korrespondent. RFC 8461 , afsnit 4.
Planlæg en kontrolleret bevægelse fra test til håndhævelse
I testtilstand kan en implementerende afsender levere på trods af fejl ved politikvalidering, mens kompatibel TLS rapportering kan afsløre disse fejl. I håndhævelsestilstand må en afsender, der respekterer en gyldig politik, ikke levere til en kandidat, der ikke består de påkrævede kontroller. Ingen af tilstandene gør MTA-STS til SPF, DKIM eller DMARC validering; mekanismen vedrører SMTP transport.
En foreslået overgang bør have en ejer, en godkendt policediff, verificeret primær og backup MX dækning, certifikatberedskab og en defineret observationsperiode. Gennemgå relevante TLS rapporter og faktisk afsenderadfærd, før du beslutter, om håndhævelse er acceptabel. Fravær af rapporter er ikke bevis på parathed. RFC 8461 , afsnit 5 og RFC 8460.
Gendannelsesplanlægning skal tage højde for tidligere cachelagrede politikker. Sletning af opdagelse eller reduktion af en ny max_age kan ikke øjeblikkeligt forkorte en allerede cachelagret ældre politik. Behold tidligere politikorganer og levetider og planlæg en autoriseret opdatering i stedet for at love øjeblikkelig tilbagerulning. Denne vejledning udfører ingen overgangs- eller gendannelseshandlinger.
Lad selve sporet og værktøjslågen stå åben
Kataloget kræver: En DNS-til-HTTPS-til-MX valideringssporing og en kontrolleret test-for at håndhæve plan. De foreslåede kontroller ovenfor er ikke det spor og er ikke en testet checker. Der er ikke opnået miljøbevis eller godkendt overgangsplan. Standarder og sikkerhedsvejledning blev revideret den 8. november 2026; uafhængig teknisk gennemgang, implementeringstest, levende visuel validering og godkendelse af ejerudgivelser er stadig udestående.