만료와 신뢰 체인 실패를 구별하고, 보고된 엔드포인트를 보존하고, 갱신 후 실제로 제공되는 인증서를 검증합니다.
결과 카테고리를 정확하게 읽어보세요
참고자료: RFC 8460 §4.3.1, RFC 8460 §4.3.2.
인증서 만료는 보고자가 만료된 인증서를 관찰했음을 의미합니다. 신뢰할 수 없는 인증서는 알 수 없는 인증 기관, 체인 오류 및 이름 제약 조건을 포함한 여러 조건을 다룹니다. 실패 이유 코드는 진단 범위를 좁힐 수 있지만 범용 파서 계약이 아닌 보고자가 제공하는 텍스트입니다. 신뢰할 수 없는 모든 인증서 보고서에 증거가 없는 누락된 중간 보고서로 표시하지 마십시오. SMTP 인증서 문제가 sts-webpki-invalid와 혼동되지 않도록 정책 컨텍스트 및 보고된 수신 엔드포인트부터 시작하세요. MTA-STS HTTPS 정책 호스트.
보낸 사람에게 도달한 인증서를 확인하세요.
A certificate manager showing a renewed certificate does not establish that every SMTP listener serves it. Record serial or fingerprint, validity interval, chain and test timestamp from the actual authorised endpoint check. Compare those values across the receiving routes implicated by reports. A stale process, forgotten backup host or incomplete load-balancer deployment can leave old certificates active. Review clock accuracy when validity boundaries appear inconsistent, but do not change clocks or trust stores merely to make a failing test pass.
갱신 중복 문제 재현
합성 연습에서는 t=100 까지 유효한 기존 인증서와 t=90 부터 t=200. t=110, 에서 여전히 이전 인증서를 제공하는 리스너는 모델의 유효성 기간 확인에 실패하지만 새 인증서를 제공하는 리스너는 이를 통과합니다. 이는 실제 인증서를 생성하지 않고 배포 구별을 재현합니다. 체인 신뢰, 이름 일치, 해지 동작 또는 구현의 경계 규칙을 증명하지 않습니다. 여기에는 실제 TLS 유효성 검사기와 제어된 엔드포인트 증거가 필요합니다.
우회하지 않고 신뢰 조사
참고자료: RFC 8461 §4.2, RFC 7672 §3.1.1.
리프와 제공된 중간 체인을 캡처한 다음 보고자의 이유를 유지된 테스트 환경과 비교합니다. 한 로컬 컴퓨터에서 신뢰하는 발급자를 영향을 받는 보낸 사람이 수락하지 않을 수 있습니다. 중간 항목 누락, 예상치 못한 자체 서명 인증서 및 정책별 제약 조건은 서로 다른 복구입니다. 선택한 검증 모델을 문서화합니다. SMTP DANE DANE-EE 사용 시에는 웹 PKI와 신뢰 의미가 다르기 때문에 공개 인증 기관에 대한 STS 스타일의 결론을 모든 PKI에 단순히 적용할 수는 없습니다. TLSA 보고서.
배포 및 보고 루프 닫기
참고자료: RFC 8460 §4.1.
영향을 받는 각 수신기에 승인된 갱신 또는 체인 수정을 적용하고, 다시 로드 동작을 확인하고, 변경 후 제시된 인증서의 증거를 보관하십시오. 수리 후 관찰 기간이 속하는 보고서를 비교하고 집계 지연을 설명합니다. 소유권 및 롤아웃을 위한 충분한 리드 타임을 두고 갱신 모니터링을 예약하고 새 인증서가 실제로 배포되었는지 여부를 별도로 모니터링합니다. 인증서 실패를 숨기기 위해 강제 전송 정책을 자동으로 낮추지 마십시오. 이 가이드는 통제된 실험실 테스트만 기록합니다. 프로덕션 인증서를 갱신하거나 프로덕션 신뢰 저장소를 변경하거나 프로덕션 복구를 시연하지 않습니다.
보유된 역사적 증거 및 현재 점검 사항
아래의 전송 관찰은 2026년 11월 7일에 캡처되었으며 이 검토를 위해 네트워크 테스트로 재실행되지 않고 검사되었습니다. 새로운 오프라인 모델 검사는 별도로 기록됩니다.
보관된 루프백 캡처에는 테스트 전에 유효성이 종료된 신뢰할 수 있는 랩 CA에서 서명한 인증서가 포함되어 있습니다. 확인 코드 10으로 실패하고 인증서가 만료되었습니다. 별도의 자체 서명된 리프는 확인 코드 18, 자체 서명된 인증서로 인해 실패합니다. 동일한 예상 호스트 이름으로 유효한 제어가 성공합니다. 타임스탬프가 지정된 핸드셰이크 증거와 공개 인증서가 유지되므로 만료 및 신뢰 실패를 별도로 검사할 수 있습니다. 개인 키는 임시적이며 제거됩니다. 실제 서비스 갱신 출시 및 모든 리스너 배포 검증은 이 랩 외부에 남아 있습니다. 역사적인 전송 실행기에는 암호화 및 루프백 소켓이 있는 Python이 필요합니다. 그 결과는 현재 서비스 상태나 프로덕션 상호 운용성이 아닌 제한된 실험실 증거입니다.
1차 소스 기반
필드 정의 및 보고 제한은 다음에서 가져옵니다. RFC 8460 , SMTP TLS 보고, 섹션 3 및 4. STS 검증에 대해 논의하는 경우 RFC 8461. 운영 권장 사항은 프로토콜 요구 사항과 구별됩니다.