MTA-STS खोज _mta-sts से शुरू होती है और उसके बाद पॉलिसी डोमेन आता है। user@example.com को संबोधित मेल के लिए, सामान्य खोज स्वामी _mta-sts.example.com है। TXT मान समर्थन और एक संशोधन पहचानकर्ता का विज्ञापन करता है; वास्तविक पॉलिसी HTTPS पर अलग से प्राप्त की जाती है।
प्राप्तकर्ता डोमेन का सटीक रूप से पालन करें
सन्दर्भ: RFC 8461 §3.1, RFC 8461 §3.4.
user@mail.example.com को भेजा गया एक संदेश मूल example.com नीति को प्राप्त करने के बजाय mail.example.com को अपने नीति डोमेन के रूप में उपयोग करता है। RFC 8461 प्रशासनिक रूप से कॉन्फ़िगर किए गए स्मार्ट होस्ट के लिए विशेष हैंडलिंग भी देता है: स्मार्ट-होस्ट डोमेन नीति डोमेन बन जाता है। अनुपस्थित रिकॉर्ड की व्याख्या करने से पहले रिकॉर्ड करें कि आप किस रूटिंग स्थिति का परीक्षण कर रहे हैं।
The TXT रिकॉर्ड v=STSv1 से शुरू होना चाहिए और इसमें 1-32 ASCII अक्षरों या अंकों की एक आईडी शामिल होनी चाहिए। पहचानकर्ता विशिष्ट रूप से किसी पॉलिसी के उदाहरण की पहचान करता है। इसका कोई निहित आदेश नहीं है: 20261107बी एक सुविधाजनक परिचालन लेबल है, न कि समय प्रोटोकॉल या केवल बड़ी संख्याओं को स्वीकार करने का निर्देश।
स्क्रीन पंक्तियों के बजाय रिकॉर्ड गिनें
सन्दर्भ: RFC 8461 §3.1, RFC 8461 §8.2.
यदि कई TXT रिकॉर्ड लौटाए जाते हैं, तो डिस्कवरी उन रिकॉर्ड्स को खारिज कर देती है जो v=STSv1; . बिल्कुल एक लागू, वाक्यविन्यास की दृष्टि से मान्य रिकॉर्ड अवश्य रहना चाहिए। दो स्वतंत्र MTA-STS रिकॉर्ड एक सुरक्षित रोलओवर तंत्र नहीं हैं। एक TXT संसाधन रिकॉर्ड के अंदर एकाधिक स्ट्रिंग्स को रिक्त स्थान जोड़े बिना संयोजित किया जाता है।
CNAME खोज की अनुमति है और यह TXT रिकॉर्ड तक एक श्रृंखला का अनुसरण कर सकता है। मालिक और उपनाम चेन को साक्ष्य में रखें। डिस्कवरी डेलिगेशन प्राप्तकर्ता डोमेन की पॉलिसी होस्टनाम के तहत HTTPS पॉलिसी पुनर्प्राप्ति की आवश्यकता को नहीं हटाता है।
खोज विफलताओं को पुन: प्रस्तुत करें
एक पृथक DNS फ़िक्स्चर में, v=STSv1; id=A1 और एक असंबंधित सत्यापन TXT रिकॉर्ड। इच्छित चयन में एक MTA-STS उम्मीदवार को बरकरार रखा जाता है। दूसरा स्वतंत्र v=STSv1; id=A2 रिकॉर्ड और परिणाम उस उत्तर के माध्यम से खोजी गई कोई उपलब्ध नीति नहीं है। फिर मूल रिकॉर्ड को दो स्ट्रिंग्स में विभाजित करें, v=STSv1; और एक स्थान जिसके बाद id=A1, और संयोजन को सत्यापित करने से एक वैध मान पुनर्स्थापित हो जाता है।
पूर्ण स्वामी से पूछताछ करें _mta-sts.example.test. प्रत्येक प्रयोगशाला प्राधिकरण के विरुद्ध प्रकार TXT और एक प्रयोगशाला पुनरावर्ती रिज़ॉल्वर, बचत स्थिति, रिकॉर्ड सीमाएँ और TTL के साथ। यह प्रक्रिया निर्दिष्ट है, निष्पादित सार्वजनिक DNS परीक्षण नहीं। आपूर्ति की गई स्थानीय स्थिरता को इस समीक्षा के लिए दोबारा चलाया गया था और केवल उम्मीदवार-गणना तर्क का उपयोग किया गया था; यह DNS रिज़ॉल्वर या पूर्ण खोज पार्सर नहीं है।
घोषणा से पहले HTTPS अपडेट करें
सन्दर्भ: RFC 8461 §3.3, RFC 8461 §5.1, RFC 8461 §8.1.
पहले नई पॉलिसी बॉडी को प्रकाशित और सत्यापित करें, फिर आईडी बदलें। अन्यथा प्रेषक पुरानी बॉडी लाते समय भी नई आईडी देख सकता है। संक्रमण के दौरान पुराने मार्गों को प्रयोग योग्य रखें। गुम या अनुपयोगी खोज एक वैध गैर-समाप्त कैश्ड पॉलिसी को नहीं मिटाती है, और एक आईडी परिवर्तन प्रत्येक प्रेषक द्वारा तत्काल लाने की गारंटी नहीं है। DNS और प्रेषक कैश को परिवर्तन के अलग-अलग हिस्सों के रूप में मानें।
ऐतिहासिक साक्ष्य और शेष गुंजाइश बरकरार रखी
निम्नलिखित 7 नवंबर 2026 का प्रयोगशाला रिकॉर्ड है, जिसका निरीक्षण किया गया लेकिन इस समीक्षा के लिए नेटवर्क प्रयोग के रूप में दोबारा नहीं चलाया गया। नए ऑफ़लाइन फ़िक्स्चर निष्पादन को अलग से रिकॉर्ड किया जाता है।
एक कैप्चर की गई तार्किक समयरेखा A1 से शुरू होती है जिसे प्रकाशित किया गया है और युग 1000000 पर लाया गया है: लागू करें, केवल पुराना MX , अधिकतम आयु 86400, प्रेषक की समाप्ति 1086400। A1 को अंतिम बार 1000300 पर परोसा गया था, इसलिए उस सीमा पर लाने वाला कोई अन्य प्रेषक इसे 1086700 तक बनाए रख सकता था। B2 को पुराने और नए के साथ 1000300 पर प्रकाशित किया गया था। MX पैटर्न और अधिकतम आयु 3600; इसका मॉडल अंतिम-सेवा समय 1000600 है, जो समाप्ति 1004200 देता है। 1000600 पर सी3 केवल नए को अनुमति देता है, अंतिम-सेवा समय 1000900 और समाप्ति 1004500 के साथ। ये स्पष्ट सिंथेटिक समय हैं, देखे गए इंटरनेट ईवेंट नहीं हैं। 7 नवंबर के बनाए गए ट्रेस रिकॉर्ड में बताया गया है कि लैब ने अपनी DNS प्रतिक्रिया को B2 में बदल दिया और HTTPS पर डुअल-एमएक्स बॉडी प्राप्त की। एक दावे ने पिछले A1 कैश को अपरिवर्तित रखा; पुराने को अनुमति दी गई और नए को वहां अनुमति नहीं दी गई, जबकि ताज़ा B2 बॉडी को नए की अनुमति दी गई। इस प्रकार एक पहचानकर्ता घोषणा और एक सफल नया फ़ेच स्वयं किसी अन्य कैश्ड स्नैपशॉट को परिवर्तित नहीं करता है।