[Risposta veloce]
MTA-STS (Mail Transfer Agent Strict Transport Security) impone ad altri server di posta di recapitare la posta elettronica al tuo dominio tramite TLS crittografato e convalidato dal certificato. Pubblichi un record TXT _mta-sts e un file di criteri su https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. È definito nella RFC 8461 .
Fatti chiave
- ›Record DNS : _mta-sts.yourdomain.com TXT v=STSv1; id=< id univoco>.
- ›Il file dei criteri elenca versione, modalità, mx e max_age.
- ›Modalità: nessuna, test, applicazione.
- ›La policy deve essere servita tramite HTTPS con un certificato valido.
- ›Modifica il valore ID ogni volta che aggiorni la policy.
Recensito dal team di ricerca EmailAuth
La crittografia SMTP con STARTTLS è opportunistica: se un utente malintenzionato rimuove l'offerta STARTTLS , la posta ritorna al testo semplice e nessuno se ne accorge. MTA-STS consente al tuo dominio di dichiarare che i mittenti devono utilizzare TLS con un certificato valido o non consegnarlo affatto.
Come configurare MTA-STS
- 1
Creare il file delle politiche
Host https://mta-sts.yourdomain.com/.well-known/mta-sts.txt contenente la versione: STSv1, modalità: testing, una riga mx: per server di posta e max_age: 604800.
- 2
Pubblica il record DNS
Aggiungi un record TXT su _mta-sts.yourdomain.com con v=STSv1; id=20261102.
- 3
Aggiungi TLS-RPT
Pubblica _smtp._tls.yourdomain.com con v=TLSRPTv1; rua=mailto:tls@yourdomain.com per ottenere rapporti sugli errori.
- 4
Muoversi per far rispettare
Dopo che i report mostrano una consegna pulita, cambia modalità per applicare e aggiornare l'ID.
L'hosting è la parte difficile
La policy richiede un host HTTPS con un certificato valido. EmailAuth ospita MTA-STS per te tramite CNAME .
Domande frequenti
Cos'è MTA-STS ?
Uno standard che indica ai server di invio che il tuo dominio richiede la crittografia TLS con un certificato valido, impedendo downgrade e attacchi man-in-the-middle sulla posta in entrata.
MTA-STS è necessario?
Non è necessario per la consegna, ma senza di esso la crittografia STARTTLS può essere rimossa silenziosamente. È consigliato dai framework di sicurezza e supportato da Gmail , Microsoft e Yahoo .
Come posso configurare MTA-STS ?
Ospita il file dei criteri su mta-sts.yourdomain.com su HTTPS, pubblica il record TXT _mta-sts , aggiungi TLS-RPT per il reporting, inizia in modalità test e passa all'applicazione.
Cosa significa che manca la policy MTA-STS : STSFetchResult.NONE?
I controlli di Microsoft non sono riusciti a trovare un record MTA-STS o un file di criteri valido per il dominio. Pubblicali entrambi e assicurati che l'URL della policy sia raggiungibile tramite HTTPS.
Cos'è il record DNS MTA-STS ?
Un record TXT su _mta-sts.yourdomain.com con il valore v=STSv1; id=20261102 (qualsiasi ID univoco).
[ MTA-STS guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK