[ 輸送のセキュリティ ]
TLS-RPTレポートの宛先とレポートの配信
保証された重複配信を想定せずに、承認された mailto または HTTPS の収集パス、レポートの整合性、タイミング、および処理責任を定義します。
EmailAuth研究チームによる · 8 分で読めます
【ポイント】
- TLS-RPT収集とトランスポートの強制は別個の依存関係です。
- 複数の RUA 宛先では、すべてのエンドポイントでのコピーが保証されません。
- 受信、完全性、解析、帰属を個別の段階として検証します。
[ 取り除く ]
報告先を、承認されたデータ共有と監視可能な配信から処理までの段階を備えた所有サービス契約として扱います。
【役割別】
これがあなたにとって何を意味するか
実際の次のステップに向けて、自分の役割を選択してください。
IT / メール管理者
収集を通じてレポートを追跡する
エンドポイントの受け入れは、解析の成功とは異なります。
次のステップ
- 正確なレポート レコードとサポートされている URI を確認します。
- 取り込みを通じてレポート識別子を保持します。
- 圧縮、整合性、帰属を個別にチェックします。
CISO / SecOps
報告チャネルを承認して保護する
レポートには運用メタデータと信頼できないコンテンツが含まれます。
次のステップ
- サードパーティの受信者と保持を承認します。
- 必要なSMTPレポート署名チェックを保存します。
- レポートの転送が常に暗号化されていると想定しないでください。
創業者 / 非技術系
収集責任を割り当てる
宛先を公開しても、失敗に対処する責任が誰かに課されるわけではありません。
次のステップ
- コレクターとインシデントの所有者の名前を指定します。
- アーカイブとダッシュボードの関係を定義します。
- 現実的な参加とタイミングの期待値を設定します。
[ よくある質問 ]
よくある質問
TLS-RPTレコードはどこで公開されていますか?
ポリシー ドメインの_smtp._tlsで、バージョン TLSRPTv1 および rua 宛先のTXTを使用します。これはMTA-STSポリシー ファイルとは別のものです。
RFC 8460はどの宛先スキームをサポートしていますか?
サポートされているスキームは mailto と https です。 HTTPS レポートは POST を使用します。 mailto レポートは、指定されたメールボックス配信パスを使用します。
外部宛先には DMARC スタイルの認証レコードが必要ですか?
RFC 8460では、DMARC スタイルのDNSハンドシェイクは定義されていません。組織の承認とコレクター固有のオンボーディングを個別に確認します。プロトコルレコードを発明しないでください。
2 つの rua URI はそれぞれすべてのレポートを受信しますか?
必ずしもそうとは限りません。レポーターは、サポートされている複数の宛先を試行することも、1 つを選択することもできます。 1 つのエンドポイントで正常に受信できれば、配信を完了できます。
SMTPレポートにはどのような整合性チェックが適用されますか?
l=.のない有効なレポート ドメインDKIM署名が必要です。キーはs=tlsrpt;受信者は、そのサービス宣言が欠落しているレポートを無視してもよい。
HTTPS 確認応答は処理が成功したことを証明しますか?
いいえ。成功した応答により配信が確認され、コレクターは後で処理することができます。キュー、パーサー、アトリビューションの結果を個別に追跡します。
2 つの有効なTLS-RPTポリシー レコードが公開された場合はどうなりますか?
リテラル プレフィックス「 v=TLSRPTv1; 」で始まらないTXTリソース レコードを破棄した後、送信者は残りのレコードを 1 つだけ見つける必要があります。 0 個または 1 個以上の値が見つかった場合、 RFC 8460ではTLS-RPTが実装されていないと想定することが求められています。レコード境界は重要です。1 つのTXTレコード内の複数の文字列は、それ自体が複数のポリシー レコードを意味するわけではありません。
[ 情報源 ]
情報源
- RFC 8460
セクション §3.レポート ポリシー · §4.1 レポートの時間枠 · §4.3 結果の種類 · §5.2 圧縮 · §5.3 電子メール トランスポート · §5.4 HTTPS トランスポート · §5.5 配信の再試行 · §5.6 メタデータの差異 · §7。セキュリティに関する考慮事項
[ 用語集 ]
用語集
- コレクター契約
- 提案された契約には、宛先の所有権、データの取り扱い、証拠の処理が含まれます。
企業の来歴
一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。
従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。
EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。
SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化