MTA-STS 수신 도메인이 인증된 TLS 전달에 대한 기대치를 게시할 수 있도록 합니다. 수신 서비스에 대한 SMTP 연결을 지정합니다. 메시지 작성자의 보낸 사람 주소를 인증하거나 한 사람의 장치에서 다른 사람의 장치로 메시지를 암호화하지 않습니다.
작업 배포는 도메인의 실제 인바운드 MX 경로, HTTPS 정책, 해당 정책에 신호를 보내는 DNS 레코드 등 세 가지를 연결합니다. TLS 보고는 별도의 피드백 경로를 제공합니다.
실제 수신 경계 설정
참고자료: RFC 8461 §3.4, RFC 8461 §4.
백업 서비스 및 업스트림 보안 게이트웨이를 포함하여 도메인에 대한 메일을 수락하는 MX 호스트를 나열합니다. 내부 사서함 서버뿐만 아니라 실제 공용 수신 경계에서 TLS 및 인증서 동작을 확인합니다.
MX 경로, 정책 호스팅, 인증서 갱신 및 보고 대상을 소유한 사람을 기록합니다. 호스팅된 사서함 서비스가 반드시 고객의 MTA-STS 정책을 호스팅하거나 그 앞의 모든 게이트웨이를 운영할 필요는 없습니다.
하위 도메인을 별도로 평가합니다. MTA-STS DMARC 스타일 상위 정책 상속을 사용하지 않습니다. 수신 하위 도메인에는 해당 도메인에 적용 가능한 구성이 필요합니다.
실제 호스트에 대한 정책 구축
참고자료: RFC 8461 §3.2, RFC 8461 §3.3.
수신 도메인에 필요한 HTTPS 위치에서 정책을 제공합니다. example.com 의 경우 위치는 https://mta-sts.example.com/.well-known/mta-sts.txt. HTTPS 서비스에는 정책 호스트 이름에 대한 유효한 인증서가 필요합니다.
정책은 해당 버전, 모드, 허용되는 MX 패턴 및 최대 캐시 수명을 식별합니다. 범위에 적합한 테스트 배포로 시작하고 적용 전에 결과를 검사하세요. 샘플 기간을 보편적 증거로 취급하는 대신 실제 트래픽과 종속성에서 관찰 기간을 선택합니다.
가상의 단일 MX 도메인에 대한 예시적인 정책은 다음과 같습니다.
버전: STSv1 모드: mx 테스트: mx1.example.net max_age: 86400이 예에서는 mx1.example.net 이 도메인의 실제 수신 호스트이고 적절한 SMTP TLS 지원이 있다고 가정합니다. 이는 다른 제공업체에 대해 미리 만들어진 정책이 아닙니다. 허용된 호스트를 정확하게 일치시키고 모든 합법적인 수신 경로를 포함합니다.
검색 및 보고를 별도로 게시
참고자료: RFC 8461 §3.1, RFC 8461 §8.1, RFC 8460 §3.
_mta-sts.example.com 에서 예시적인 TXT 값은 v=STSv1; id=2026110701. 식별자는 정책 개정을 나타냅니다. DNS 에 새 개정판을 광고하기 전에 정책을 게시하고 확인하십시오.
TLS-RPT _smtp._tls.example.com 에서 자체 레코드를 사용합니다. 예시적인 요청은 v=TLSRPTv1; rua=mailto:tls-reports@example.com, 주소가 존재하고 해당 수집 경로가 작동한다고 가정합니다.
가정하지 마십시오 DMARC rua 대상은 TLS 보고서를 자동으로 수신하거나 MTA-STS 테스트만으로 작동하는 보고 요청을 생성합니다. 자체 수집 프로세스를 통해 각 기록이 올바른 이름과 대상인지 확인합니다.
배포된 체인 테스트
참고자료: RFC 8461 §4, RFC 8461 §6.
외부에서 정책을 가져오고 필요한 HTTPS 엔드포인트가 의도한 일반 텍스트 본문을 HTTP 200으로 제공하는지 확인합니다. HTTP 리디렉션을 따르지 마세요. 리디렉션은 RFC 8461 §3.3에 따라 유효한 정책 가져오기가 아닙니다. 검색 DNS 확인하고 알려진 모든 MX 경로를 허용된 패턴과 비교하세요.
각 수신 경로에서 SMTP TLS 및 인증서 유효성 검사를 테스트합니다. mta-sts.example.com 에서 작동하는 웹 인증서는 MX 서버가 유효한 SMTP 인증서를 제공하는지 확인하지 않습니다.
사용 가능한 TLS 보고서 및 제어된 전달 증거를 검토하세요. 전송 서비스는 참여 방식이 다르기 때문에 침묵이 보편적인 성공을 보장하지는 않습니다. 관찰할 때마다 보고자, 간격 및 영향을 받는 MX 유지합니다.
종합적인 경우 정책은 기본 게이트웨이만 허용하는 반면 DNS 백업 MX 도 광고합니다. 백업은 일반 테스트에서 메일을 허용하지만 정책 일치에 실패합니다. 시행 전에 정책 또는 라우팅 설계를 수정합니다. 일일 볼륨이 작다고 해서 백업을 닫지 마십시오.
캐시에 대한 시행 및 복구 계획
참고자료: RFC 8461 §5, RFC 8461 §8.3.
적용 모드는 지원 발신자가 비준수 연결을 통해 전달하는 것을 방지할 수 있습니다. 지원하지 않는 발신자는 해당 보증 범위를 벗어납니다. 모드를 변경하기 전에 종속성과 허용 가능한 작동 응답을 기록하십시오.
발신자 캐시는 max_age에 대해 유효한 이전 정책을 유지할 수 있습니다. 검색 DNS 삭제하거나 HTTPS 엔드포인트를 중단하는 것은 즉각적인 글로벌 롤백이 아닙니다. 철회의 경우 수명이 짧은 유효한 모드: 없음 정책을 게시한 다음 검색 ID를 업데이트하세요. 수명이 더 긴 이전 개정을 포함하여 모든 이전 정책이 만료될 때까지 두 끝점을 모두 사용 가능한 상태로 유지합니다. 다음 편집부터가 아니라 해당 개정이 마지막으로 제공된 시점부터 각 수명을 계산합니다.
게이트웨이 마이그레이션의 경우 계획된 전환과 호환되는 정책을 만들고 새 경로를 확인하고 캐시된 버전을 허용합니다. 관련 발신자가 여전히 정책 엔드포인트에 의존할 수 있는 동안 정책 엔드포인트를 사용 가능한 상태로 유지하세요.
핸드오버에는 MX 구성, 정책 기록, 인증서 소유권 및 보고서 처리가 포함되어야 합니다. MTA-STS 움직이는 부품을 함께 유지 관리할 때 유용합니다.