[ 簡単な回答 ]
MTA-STS (Mail Transfer Agent Strict Transport Security) は、他のメール サーバーに暗号化され、証明書が検証されたTLS経由で電子メールをドメインに配信することを強制します。 _mta-sts TXTレコードとポリシー ファイルをhttps://mta-sts.yourdomain.com/.well-known/mta-sts.txt.これはRFC 8461で定義されています。
重要な事実
- ›DNSレコード: _mta-sts.yourdomain.com TXT v=STSv1; id=<一意のID>。
- ›ポリシー ファイルには、バージョン、モード、mx、および max_age がリストされます。
- ›モード: なし、テスト、強制。
- ›ポリシーは、有効な証明書を使用して HTTPS 経由で提供される必要があります。
- ›ポリシーを更新するたびに ID 値を変更します。
EmailAuth研究チームによるレビュー
STARTTLSを使用したSMTP暗号化はご都合主義です。攻撃者がSTARTTLSオファーを剥奪すると、メールはプレーン テキストに戻り、誰も気づきません。 MTA-STS使用すると、送信者が有効な証明書を使用してTLS使用する必要があること、またはまったく配信しないことをドメインで宣言できます。
MTA-STSの設定方法
- 1
ポリシーファイルを作成する
バージョン: STSv1、モード: テスト、メール サーバーごとに 1 つの mx: 行、max_age: 604800 を含むhttps://mta-sts.yourdomain.com/.well-known/mta-sts.txtをホストします。
- 2
DNSレコードを公開する
v=STSv1;を指定して_mta-sts.yourdomain.comにTXTレコードを追加します。 id=20261102.
- 3
TLS-RPTの追加
_smtp._tls.yourdomain.com v=TLSRPTv1; rua=mailto:tls@yourdomain.comで失敗レポートを取得します。
- 4
強制的に移動する
レポートに正常な配信が示されたら、モードを変更して ID を適用および更新します。
ホスティングは難しい部分です
ポリシーには、有効な証明書を持つ HTTPS ホストが必要です。 EmailAuth CNAME経由でMTA-STSをホストします。
よくある質問
MTA-STSとは何ですか?
ドメインの送信サーバーに有効な証明書によるTLS暗号化が必要であることを通知する標準で、受信メールに対するダウングレードや中間者攻撃を防ぎます。
MTA-STSは必要ですか?
配信には必須ではありませんが、これがないとSTARTTLS暗号化がサイレントに解除される可能性があります。これはセキュリティ フレームワークによって推奨されており、 Gmail 、Microsoft、 Yahooによってサポートされています。
MTA-STSを設定するにはどうすればよいですか?
HTTPS 経由でmta-sts.yourdomain.comでポリシー ファイルをホストし、 _mta-sts TXTレコードを公開し、レポート用のTLS-RPTを追加し、テスト モードで開始して強制に移行します。
MTA-STSポリシーがありません: STSFetchResult.NONE とは何を意味しますか?
Microsoft のチェックでは、ドメインの有効なMTA-STSレコードまたはポリシー ファイルが見つかりませんでした。両方を公開し、ポリシー URL が HTTPS 経由で到達可能であることを確認します。
MTA-STS DNSレコードとは何ですか?
値v=STSv1;を持つ_mta-sts.yourdomain.comのTXTレコード。 id=20261102 (任意の一意の ID)。
[ MTA-STS ご案内】
企業の来歴
一流の金融機関と政府が選ばれる理由 電子メール セキュリティ ダッシュボードを廃止しました。
従来の電子メール認証プラットフォームはダッシュボードを販売し、エンジニアに作業を依頼します。一か八かの環境では、手動による監視は適用の遅れ、構成のドリフト、および監視されていないシャドウ ドメインを意味します。
EmailAuthは、エージェントの電子メール来歴プラットフォームです。 当社のエージェントが執行します p=reject、サードパーティの送信者を調整し、ドメインを完全に移動します。 RFC 9989 新しいDMARC標準に準拠し、人間による監査機能を備えています。
SaaS · 専用テナント · エアギャップオンプレミス · BYOK 暗号化