[ Seguridad en el transporte ]
MTA-STS para dominios con múltiples proveedores MX
Valide las rutas MX primarias, de respaldo y de migración entre proveedores, incluidos los patrones de nombres de host, evidencia TLS y transiciones de políticas en caché.
Por el equipo de investigación EmailAuth · 8 minutos de lectura
[Puntos clave]
- La política debe cubrir a todos los candidatos receptores previstos, incluidas las copias de seguridad que se utilizan con poca frecuencia.
- La coincidencia de patrones MX y la validación del certificado SMTP son comprobaciones independientes.
- Coordine la migración de proveedores con publicación HTTPS, actualizaciones de detección y cachés de políticas existentes.
[ Llevar ]
Posea una matriz completa de rutas de recepción entre proveedores, verifique a cada candidato y mantenga viables las antiguas expectativas de políticas durante una transición controlada.
[ Por rol ]
¿Qué significa esto para ti?
Elija su función para conocer los próximos pasos prácticos.
Administrador de TI/correo
Pruebe la copia de seguridad antes de que sea necesaria
Es posible que la entrega exitosa de rutina nunca afecte a un candidato de menor prioridad.
Próximos pasos
- Haga un inventario de todos los objetivos y preferencias MX autorizados.
- Haga coincidir cada nombre de host con la política aprobada.
- Conserve STARTTLS por candidato y la evidencia del certificado.
CISO / Operaciones de seguridad
Revisar los hosts aceptados exactos
Un comodín amplio puede ampliar la autoridad y al mismo tiempo omitir nombres más profundos.
Próximos pasos
- Valide el comportamiento del comodín de una etiqueta.
- Separe los certificados de host de políticas y MTA de recepción.
- Revise la aplicación y el manejo de fallas de políticas en caché.
Fundador / No técnico
Coordinar a ambos propietarios de proveedores.
Una ruta de respaldo es una dependencia comercial, no simplemente otro valor DNS .
Próximos pasos
- Asigne propietarios de servicios primarios y de respaldo.
- Aprobar superposición de migración y retiro de ruta.
- Requerir evidencia antes de la ejecución o eliminación del proveedor.
[ Preguntas frecuentes ]
Preguntas frecuentes
¿Agregar una línea mx crea una nueva ruta de entrega?
No. Los registros DNS MX proporcionan candidatos; MTA-STS valida los nombres de host y el transporte aceptables. Una entrada de política no crea un registro MX DNS ni altera su preferencia.
¿Cada patrón MX permitido debe tener su propia línea?
Sí. RFC 8461 requiere una línea de clave/valor mx separada para cada patrón. Utilice nombres exactos admitidos o patrones comodín de una etiqueta.
Hace *. mail.example coincide con mx.region.mail.example ?
No. El comodín coincide únicamente con toda la etiqueta situada más a la izquierda. Coincide con mx.mail.example , no con el mail.example base ni con un nombre con dos etiquetas adicionales.
¿Una coincidencia de nombre de host de política prueba que la copia de seguridad está lista?
No. El candidato también debe admitir STARTTLS y presentar un certificado confiable válido que coincida con su nombre de host MX según las reglas de la especificación.
¿Por qué una copia de seguridad rota puede pasar desapercibida?
El recorrido normal del candidato puede entregar exitosamente al primario antes de que un remitente encuentre la copia de seguridad. Por lo tanto, son útiles las comprobaciones de respaldo explícitamente aprobadas.
¿Puedo mover MX antes de que las políticas almacenadas en caché permitan el nuevo proveedor?
Eso puede retrasar la entrega por parte de remitentes que aplican una política de aplicación anterior. Planifique la superposición y tenga en cuenta el TTL de descubrimiento y la duración de las pólizas atendidas anteriormente.
¿El modo de prueba proporciona la misma aplicación que hacer cumplir?
No. El modo de prueba puede informar fallas de políticas a través de TLS-RPT cuando sea compatible, mientras que la entrega puede continuar como si la falla de validación no hubiera ocurrido.
¿Los informes TLS limpios demuestran que todos los candidatos MX funcionan?
No. Los informes reflejan los intentos observados de los remitentes participantes. El poco tráfico y un respaldo no utilizado pueden dejar rutas importantes sin observar.
[ Fuentes ]
Fuentes
- RFC 8461 : Seguridad de transporte estricta SMTP MTA
Secciones §3. Descubrimiento de políticas · §3.2 Políticas MTA-STS · §3.3 Obtención de políticas HTTPS · §3.4 Selección de políticas para subdominios y hosts inteligentes · §4.1 Validación de host MX · §4.2 Validación del certificado MTA del destinatario · §5. Aplicación de políticas · §8.1 Actualizaciones de políticas · §8.2 Delegación de políticas · §8.3 Eliminación de MTA-STS · §8.4 Preservación del recorrido de candidatos MX
- RFC 8460 : Informes SMTP TLS
Secciones §3. Política de presentación de informes · §4. Esquema de informes · §5. Entrega de informes
[ Glosario ]
Glosario
- candidato MX
- Un host receptor considerado durante el recorrido normal de entrega SMTP del remitente.
- Patrón de política
- Un nombre de host exacto o un comodín de etiqueta compatible situado más a la izquierda que se utiliza para validar un candidato MX .
- Superposición de migración
- Un período planificado durante el cual las rutas nuevas y antiguas previstas siguen siendo compatibles con la historia de la política.
- Cobertura TLS-RPT
- El conjunto de observaciones de entrega realmente representadas por los informes de los remitentes participantes.
Procedencia de la empresa
Por qué las principales instituciones financieras y gobiernos retiraron sus paneles de seguridad de correo electrónico.
Las plataformas tradicionales de autenticación de correo electrónico le venden un panel y piden a sus ingenieros que hagan el trabajo. En entornos de alto riesgo, la supervisión manual significa retrasos en la aplicación, cambios en la configuración y dominios en la sombra no monitoreados.
EmailAuth es la plataforma de procedencia de correo electrónico agente. Nuestros agentes hacen cumplir p=reject, mantenga alineados a los remitentes externos y mueva sus dominios al máximo RFC 9989 cumplimiento, el nuevo estándar DMARC , con auditabilidad humana.
SaaS · Arrendamiento dedicado · Air-gapped on-premise · Cifrado BYOK