ट्रस्ट-चेन विफलता से समाप्ति को अलग करें, रिपोर्ट किए गए समापन बिंदु को संरक्षित करें और नवीनीकरण के बाद वास्तव में दिए गए प्रमाणपत्र को मान्य करें।
परिणाम श्रेणी को ठीक से पढ़ें
सन्दर्भ: RFC 8460 §4.3.1, RFC 8460 §4.3.2.
सर्टिफिकेट-एक्सपायर्ड का मतलब है कि रिपोर्टर ने एक एक्सपायर्ड सर्टिफिकेट देखा है। सर्टिफिकेट-नॉट-ट्रस्टेड में कई शर्तें शामिल हैं, जिनमें अज्ञात प्रमाणन प्राधिकारी, श्रृंखला त्रुटियां और नाम की बाधाएं शामिल हैं। विफलता-कारण-कोड निदान को सीमित कर सकता है लेकिन रिपोर्टर द्वारा प्रदान किया गया पाठ है, सार्वभौमिक पार्सर अनुबंध नहीं। प्रत्येक प्रमाणपत्र-अविश्वसनीय रिपोर्ट को बिना सबूत के लापता मध्यवर्ती के रूप में लेबल न करें। नीति संदर्भ से प्रारंभ करें और अंतिम बिंदु प्राप्त करने की सूचना दें ताकि SMTP प्रमाणपत्र समस्या sts-webpki-invalid के साथ भ्रमित न हो MTA-STS HTTPS नीति होस्ट।
प्रेषक तक पहुंचे प्रमाणपत्र की जांच करें
नवीनीकृत प्रमाणपत्र दिखाने वाला प्रमाणपत्र प्रबंधक यह स्थापित नहीं करता है कि प्रत्येक SMTP श्रोता इसकी सेवा करता है। वास्तविक अधिकृत समापन बिंदु जांच से रिकॉर्ड सीरियल या फ़िंगरप्रिंट, वैधता अंतराल, श्रृंखला और परीक्षण टाइमस्टैम्प। रिपोर्ट द्वारा निहित प्राप्त मार्गों पर उन मूल्यों की तुलना करें। एक पुरानी प्रक्रिया, भूला हुआ बैकअप होस्ट या अधूरा लोड-बैलेंसर परिनियोजन पुराने प्रमाणपत्रों को सक्रिय छोड़ सकता है। जब वैधता सीमाएँ असंगत दिखाई दें तो घड़ी की सटीकता की समीक्षा करें, लेकिन केवल असफल परीक्षण पास करने के लिए घड़ियाँ न बदलें या दुकानों पर भरोसा न करें।
नवीनीकरण ओवरलैप समस्या को पुन: प्रस्तुत करें
सिंथेटिक अभ्यास एक पुराने प्रमाणपत्र को t=100 तक वैध और एक नए को t=90 से t=200. t=110, एक श्रोता जो अभी भी पुराना प्रमाणपत्र परोस रहा है, मॉडल की वैधता-विंडो जांच में विफल रहता है, जबकि नया प्रमाणपत्र परोसने वाला एक श्रोता इसे पास कर देता है। यह वास्तविक प्रमाणपत्र उत्पन्न किए बिना परिनियोजन भेद को पुन: उत्पन्न करता है। यह श्रृंखला विश्वास, नाम मिलान, निरस्तीकरण व्यवहार या कार्यान्वयन की सीमा परंपराओं को साबित नहीं करता है। उन्हें एक वास्तविक TLS सत्यापनकर्ता और नियंत्रित समापन बिंदु साक्ष्य की आवश्यकता है।
भरोसे को दरकिनार किए बिना उसकी जांच करें
सन्दर्भ: RFC 8461 §4.2, RFC 7672 §3.1.1.
पत्ती को कैप्चर करें और मध्यवर्ती श्रृंखला परोसें, फिर रिपोर्टर के कारण की तुलना बनाए गए परीक्षण वातावरण से करें। एक स्थानीय मशीन द्वारा विश्वसनीय जारीकर्ता को प्रभावित प्रेषक द्वारा स्वीकार नहीं किया जा सकता है। गुम मध्यवर्ती, एक अप्रत्याशित स्व-हस्ताक्षरित प्रमाणपत्र और एक नीति-विशिष्ट बाधा अलग-अलग मरम्मत हैं। चयनित सत्यापन मॉडल का दस्तावेजीकरण करें। SMTP DANE डेन-ईई उपयोग के साथ वेब पीकेआई से भिन्न ट्रस्ट शब्दार्थ हैं, इसलिए सार्वजनिक प्रमाणन प्राधिकरणों के बारे में एसटीएस-शैली का निष्कर्ष आसानी से हर पर लागू नहीं किया जा सकता है TLSA प्रतिवेदन।
परिनियोजन और रिपोर्टिंग पर लूप बंद करें
सन्दर्भ: RFC 8460 §4.1.
प्रत्येक प्रभावित श्रोता पर स्वीकृत नवीनीकरण या श्रृंखला सुधार लागू करें, पुनः लोड व्यवहार को सत्यापित करें और परिवर्तन के बाद प्रस्तुत प्रमाणपत्र के साक्ष्य को बनाए रखें। उन रिपोर्टों की तुलना करें जिनकी अवलोकन अवधि मरम्मत के बाद गिरती है और एकत्रीकरण में देरी का कारण बनती है। स्वामित्व और रोलआउट के लिए पर्याप्त लीड समय के साथ नवीनीकरण निगरानी शेड्यूल करें, और अलग से निगरानी करें कि क्या नया प्रमाणपत्र वास्तव में तैनात किया गया है। प्रमाणपत्र विफलताओं को छिपाने के लिए स्वचालित रूप से लागू परिवहन नीति को कम न करें। यह मार्गदर्शिका केवल नियंत्रित प्रयोगशाला परीक्षणों को रिकॉर्ड करती है; यह उत्पादन प्रमाणपत्रों को नवीनीकृत नहीं करता है, उत्पादन ट्रस्ट स्टोर में परिवर्तन नहीं करता है या उत्पादन पुनर्प्राप्ति प्रदर्शित नहीं करता है।
ऐतिहासिक साक्ष्य और वर्तमान जाँचें बरकरार रखीं
नीचे दिए गए परिवहन अवलोकनों को 7 नवंबर 2026 को कैप्चर किया गया और इस समीक्षा के लिए नेटवर्क परीक्षणों के रूप में दोबारा चलाने के बजाय निरीक्षण किया गया। नए ऑफ़लाइन मॉडल की जाँचें अलग से दर्ज की जाती हैं।
बरकरार लूपबैक कैप्चर में विश्वसनीय लैब सीए द्वारा हस्ताक्षरित प्रमाणपत्र शामिल है जिसकी वैधता परीक्षण से पहले समाप्त हो गई थी; यह सत्यापन कोड 10 के साथ विफल हो गया है, प्रमाणपत्र समाप्त हो गया है। एक अलग स्व-हस्ताक्षरित पत्ता सत्यापन कोड 18, स्व-हस्ताक्षरित प्रमाणपत्र के साथ विफल हो जाता है। वैध नियंत्रण उसी अपेक्षित होस्टनाम के साथ सफल होता है। टाइमस्टैम्प्ड हैंडशेक साक्ष्य और सार्वजनिक प्रमाणपत्रों को बरकरार रखा जाता है, जिससे समाप्ति और ट्रस्ट विफलताओं का अलग से निरीक्षण किया जा सकता है। निजी कुंजियाँ अस्थायी हैं और हटा दी गई हैं। वास्तविक सेवा नवीनीकरण रोलआउट और सभी-श्रोता परिनियोजन सत्यापन इस प्रयोगशाला के बाहर रहते हैं। ऐतिहासिक परिवहन धावक को क्रिप्टोग्राफी और लूपबैक सॉकेट के साथ पायथन की आवश्यकता होती है। इसके परिणाम सीमित प्रयोगशाला साक्ष्य हैं, न कि वर्तमान सेवा स्वास्थ्य या उत्पादन अंतरसंचालनीयता।
प्राथमिक-स्रोत आधार
फ़ील्ड परिभाषाएँ और रिपोर्टिंग सीमाएँ आती हैं RFC 8460 , SMTP TLS रिपोर्टिंग, धारा 3 और 4। जहां एसटीएस सत्यापन पर चर्चा की जाती है, परामर्श लें RFC 8461. परिचालन अनुशंसाएँ प्रोटोकॉल आवश्यकताओं से भिन्न होती हैं।