[Jawaban cepat]
MTA-STS (Mail Transfer Agent Strict Transport Security) memaksa server email lain untuk mengirimkan email ke domain Anda melalui TLS terenkripsi dan divalidasi sertifikat. Anda mempublikasikan data TXT _mta-sts dan file kebijakan di https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Ini didefinisikan dalam RFC 8461 .
Fakta-fakta penting
- ›Catatan DNS : _mta-sts.yourdomain.com TXT v=STSv1; id=< id unik>.
- ›File kebijakan mencantumkan versi, mode, mx dan max_age.
- ›Mode: tidak ada, pengujian, penegakan.
- ›Kebijakan harus disajikan melalui HTTPS dengan sertifikat yang valid.
- ›Ubah nilai id setiap kali Anda memperbarui kebijakan.
Ditinjau oleh tim peneliti EmailAuth
Enkripsi SMTP dengan STARTTLS bersifat oportunistik: jika penyerang menghapus tawaran STARTTLS , email akan kembali ke teks biasa dan tidak ada yang menyadarinya. MTA-STS memungkinkan domain Anda menyatakan bahwa pengirim harus menggunakan TLS dengan sertifikat yang valid, atau tidak mengirimkan sama sekali.
Cara mengatur MTA-STS
- 1
Buat file kebijakan
Host https://mta-sts.yourdomain.com/.well-known/mta-sts.txt yang berisi versi: STSv1, mode: pengujian, satu mx: baris per server email dan max_age: 604800.
- 2
Publikasikan catatan DNS
Tambahkan data TXT di _mta-sts.yourdomain.com dengan v=STSv1; id=20261102.
- 3
Tambahkan TLS-RPT
Publikasikan _smtp._tls.yourdomain.com dengan v=TLSRPTv1; rua=mailto:tls@yourdomain.com untuk mendapatkan laporan kegagalan.
- 4
Bergerak untuk menegakkan
Setelah laporan menunjukkan pengiriman bersih, ubah mode untuk menerapkan dan memperbarui id.
Hosting adalah bagian yang sulit
Kebijakan ini memerlukan host HTTPS dengan sertifikat yang valid. EmailAuth menghosting MTA-STS untuk Anda melalui CNAME .
Pertanyaan yang sering diajukan
Apa itu MTA-STS ?
Standar yang memberi tahu server pengirim bahwa domain Anda memerlukan enkripsi TLS dengan sertifikat yang valid, sehingga mencegah penurunan versi dan serangan man-in-the-middle pada email masuk.
Apakah MTA-STS diperlukan?
Ini tidak diperlukan untuk pengiriman, tetapi tanpanya enkripsi STARTTLS dapat dihapus secara diam-diam. Direkomendasikan oleh kerangka keamanan dan didukung oleh Gmail , Microsoft dan Yahoo .
Bagaimana cara mengatur MTA-STS ?
Host file kebijakan di mta-sts.yourdomain.com melalui HTTPS, publikasikan data TXT _mta-sts , tambahkan TLS-RPT untuk pelaporan, mulai dalam mode pengujian dan lanjutkan untuk menerapkan.
Apa yang hilang dari kebijakan MTA-STS : STSFetchResult.NONE?
Pemeriksaan Microsoft tidak dapat menemukan catatan MTA-STS atau file kebijakan yang valid untuk domain tersebut. Publikasikan keduanya dan pastikan URL kebijakan dapat dijangkau melalui HTTPS.
Apa yang dimaksud dengan data DNS MTA-STS ?
Data TXT di _mta-sts.yourdomain.com dengan nilai v=STSv1; id=20261102 (id unik apa saja).
[ MTA-STS memandu ]
Asal perusahaan
Mengapa lembaga keuangan dan pemerintah terkemuka menghentikan dasbor keamanan email mereka.
Platform autentikasi email tradisional menjual dasbor kepada Anda dan meminta teknisi Anda melakukan pekerjaannya. Di lingkungan berisiko tinggi, pengawasan manual berarti penegakan yang tertunda, penyimpangan konfigurasi, dan domain bayangan yang tidak dipantau.
EmailAuth adalah platform asal email agen. Agen kami menegakkan p=reject, jaga agar pengirim pihak ketiga tetap selaras dan pindahkan domain Anda ke kapasitas penuh RFC 9989 kepatuhan, standar DMARC baru, dengan kemampuan audit yang dapat dilakukan secara langsung oleh manusia.
SaaS · Penyewaan khusus · On-prem dengan celah udara · Enkripsi BYOK