[ 輸送のセキュリティ ]
サーバーレスMTA-STSホスティング: 可用性の評価と変更制御
正確なパス配信、カスタム ドメインTLS 、ルーティング動作、キャッシュ対応リリースについて、文書化された Azure Static Web Apps ポリシーとホストのルートを評価します。
EmailAuth研究チームによる · 8 分で読めます
【ポイント】
- デフォルトのクラウド URL は、必須のカスタムMTA-STSエンドポイントではありません。
- HTTP の可用性だけでなく、ポリシーのバイトとルーティングの動作を確認します。
- ポリシー キャッシュの履歴を保持しながら、HTTPS のリリースと検出の更新を調整します。
[ 取り除く ]
サーバーレス ホストを、検証済みのアーティファクト、ホスト名のバインディング、セマンティック モニタリング、および責任あるリリース プロセスを備えた管理されたパブリック ポリシー サービスとして扱います。
【役割別】
これがあなたにとって何を意味するか
実際の次のステップに向けて、自分の役割を選択してください。
IT / メール管理者
正確なポリシーエンドポイントを検証する
ホームページ要求が成功すると、ポリシー ファイルが見つからなかったり書き換えられたりしたことが隠蔽される可能性があります。
次のステップ
- ビルド出力を調べて、正確な既知のパスを確認します。
- リダイレクトをたどらずにカスタム ホスト名を取得します。
- ポリシーの内容とMXパターンを承認されたインテントと比較します。
CISO / SecOps
公共ルートを絞り込んで検討する
認証ルールとフォールバック動作は、ポリシーフェッチコントラクトに違反する可能性があります。
次のステップ
- ポリシーホストとSMTP証明書のチェックを個別に行います。
- 匿名アクセス範囲とドメイン検証方法を確認します。
- 障害時およびリタイア時のキャッシュされたポリシーの動作を追跡します。
創業者 / 非技術系
ホスティングおよびメールポリシーの所有者を割り当てる
サーバーレス ホスティングは依然として展開と証明書のライフサイクル管理に依存しています。
次のステップ
- リリース、アラート、リカバリの所有者に名前を付けます。
- ドメインごとのコンテンツチェックが必要です。
- プラットフォームの可用性を完全なメール保証として扱うことは避けてください。
[ よくある質問 ]
よくある質問
自動生成された静的 Web アプリ URL でのみ公開できますか?
いいえ。必要なポリシー ドメインのホスト名と既知のパスは、有効な HTTPS でドキュメントを提供する必要があります。プロバイダーのホスト名は展開ターゲットであり、代替ポリシー URL ではありません。
どのビルド設定によってどのファイルがデプロイされるかが決まりますか?
Azure では、skip_app_build が有効な場合に異なる app_location の意味をもつ app_location と Output_location を文書化します。実際の出力に、意図したルート相対パスにポリシーが含まれていることを確認します。
200 という応答でも間違いである可能性はありますか?
はい。ナビゲーション フォールバックは、ポリシーの代わりに HTML を返すことができます。ステータスだけではなく、ステータス、コンテンツ タイプ、正確な本文、および解析されたポリシーを検証します。
ポリシー パスにはログインまたはリダイレクトが必要ですか?
MTA-STS HTTPS 契約に基づいて取得可能である必要があります。ログインの依存関係またはリダイレクトは、直接成功したポリシー応答の有効な置き換えではありません。送信者はリダイレクトに従ってはいけません。
すべての静的 Web アプリのバリアントは CNAME のみの検証を使用しますか?
いいえ。現在のカスタム ドメインの概要では、新しいエンタープライズ グレードの Edge カスタム ドメインに対して TXT トークンの検証が必要です。実際の製品バリエーションと発行値を確認してください。
証明書の自動更新は何に依存しますか?
引用された Microsoft の概要には、カスタム ドメインがパブリック インターネット経由で静的 Web アプリに解決される必要があると記載されています。この運用上の依存関係を保持し、実際の証明書を確認します。
HTTPS が停止すると、すでにキャッシュされている適用はキャンセルされますか?
いいえ。期限切れになっていない有効なキャッシュされたポリシーを持つ送信者は、ライブ ポリシーを取得できない場合でも、それを適用する必要があります。キャッシュなしの送信側は、仕様の明確なフェッチ失敗動作に従います。
新しい展開を検証する前に検出 ID を変更する必要がありますか?
RFC 8461 、検出レコードを更新する前に新しい HTTPS 本文を公開することを推奨しています。新しい信号が送信者を古いコンテンツに誘導しないように、最初にデプロイされたバイトを確認してください。
[ 情報源 ]
情報源
- RFC 8461 : SMTP MTA 厳格なトランスポート セキュリティ
セクション §3.ポリシーの検出 · §3.2 MTA-STSポリシー · §3.3 HTTPS ポリシーの取得 · §3.4 スマート ホストおよびサブドメインのポリシー選択 · §4.1 MXホストの検証 · §4.2 受信者の MTA 証明書の検証 · §5。ポリシーの適用 · §8.1 ポリシーの更新 · §8.2 ポリシーの委任 · §8.3 MTA-STSの削除 · §8.4 MX候補トラバーサルの保持
- RFC 8460 : SMTP TLSレポート
セクション §3.報告ポリシー · §4.レポートスキーマ · §5.レポート配信
- Microsoft: Azure 静的 Web アプリを構成する
セクション ルート · 承認 · ナビゲーション フォールバック · カスタムMIMEタイプ
- Microsoft: 外部プロバイダーを使用したカスタム ドメイン
セクション 静的 Web アプリの URL を取得する · CNAMEレコードを作成する · ドメインを入力する
- Microsoft: 静的 Web アプリのビルド構成
セクション ビルド構成設定 · ビルド構成 · フロントエンド アプリのビルドをスキップ
- Microsoft: Azure Static Web Apps を使用したカスタム ドメイン
セクション Azure Static Web Apps を使用したカスタム ドメイン · ドメイン検証 · 証明書の更新
[ 用語集 ]
用語集
- セマンティックチェック
- 提供されたポリシーが、単純な稼働時間を超えて、承認されたルート インベントリに必要なものを意味していることを確認する提案。
企業の来歴
一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。
従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。
EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。
SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化