전송 검사기는 조직에서 보내거나 받는 모든 메시지의 보안을 입증하지 않고도 실제 문제를 발견할 수 있습니다. 대부분의 검사는 특정 확인자 및 검증 방법을 사용하여 특정 시간에 선택된 엔드포인트를 관찰합니다. 따라서 방어 가능한 결과에는 합격 배지뿐만 아니라 범위와 누락된 적용 범위도 포함됩니다.
배송 경로 재고 정의
참고자료: RFC 8461 §3.4, RFC 8461 §5.1, RFC 7672 §2.2.
수신자 도메인, MX 호스트 이름, 우선 순위, IPv4 및 IPv6 주소, 호스팅 게이트웨이 및 장애 조치 경로를 나열합니다. 테스트가 일반 MX 라우팅을 따르는지 또는 명시적으로 구성된 스마트 호스트를 따르는지 확인하십시오. 발신자 구현 및 지원 여부를 기록합니다. MTA-STS, DANE 또는 로컬 필수 TLS 정책입니다. 서로 다른 전송 시스템은 동일한 수신 도메인에 대해 서로 다른 결정을 내릴 수 있습니다.
그런 다음 각 검사가 지원할 수 있는 주장을 정의합니다. 공개 HTTPS 요청은 해당 유리한 지점에서 정책 가용성을 설정할 수 있습니다. TLS 프로브는 선택한 주소에 제시된 인증서를 관찰할 수 있습니다. 검증 DNS 쿼리는 다음에 대한 증거를 제공할 수 있습니다. DNSSEC 지정된 확인자 신뢰 모델에서 상태. 어느 누구도 실제적인 전송을 증명하지 못합니다. MTA 동일한 데이터를 사용하고 예상되는 배달 정책을 시행했습니다.
단순한 결과가 아닌 상태 캡처
참고자료: RFC 8461 §3.3, RFC 8461 §4, RFC 7672 §3.
MTA-STS 의 경우 검색 기록, 정확한 HTTPS 정책 바이트, 검색 시간, 모드, 수명 및 보낸 사람의 캐시 상태를 유지합니다. DANE 의 경우 MX 유지하고 TLSA 답변, 검증 상태 및 연관 비교. 각 SMTP 연결에 대해 선택한 호스트와 IP를 캡처합니다. STARTTLS 협상, 동료 검증 결과 및 배송 결정. RFC 8461 섹션 3-5, RFC 7672 섹션 2-3.
실패한 프로브는 실패 단계를 기록해야 합니다. DNS 시간 초과, TCP 시간 초과, STARTTLS 부재, 핸드셰이크 실패 및 인증서 불일치는 상호 교환 가능한 결과가 아닙니다. 또한 성공적인 핸드셰이크는 발신자가 향후 다운그레이드된 연결을 거부한다는 사실을 입증하지 않습니다. 승인된 경우, 특히 엄격한 운송 요구 사항을 활성화하기 전에 통제된 부정적인 사례를 포함합니다.
보장 공백을 극복하세요
이 종합 인벤토리 예에서 mx1.example.net 에는 IPv4 및 IPv6 경로가 있고 mx2.example.net 은 백업입니다. 샘플 관찰에서는 mx1의 IPv4 주소만 다룹니다. 인벤토리는 세 가지 모두에 성공을 전파하는 대신 IPv6 및 백업 경로를 테스트되지 않은 것으로 표시해야 합니다. 관찰은 명백히 종합적이며 실제 연관성을 주장하지 않습니다.
유효한 시행 정책을 사용하여 지원하는 MTA에 대한 보낸 사람 측 수락 행, 빈 캐시가 있는 다른 행, 검증된 TLSA가 있는 DANE 지원 발신자를 추가합니다. 이러한 행은 실제 로그가 캡처될 때까지 보류 중인 상태로 유지됩니다. 이는 예상 결과를 측정값으로 제시하지 않고도 수용 계획을 유용하게 만듭니다. 또한 사고 대응자는 실패한 경로가 실행되었는지 여부도 확인할 수 있습니다.
보고서와 운영 증거 조정
참고자료: RFC 8460 §4.1, RFC 8460 §4.2.
TLS-RPT 보고서는 보고 기간 동안 참여 발신자가 확인한 오류를 밝혀 특정 시점 프로브를 보완할 수 있습니다. 세션 수는 고유한 메시지 수가 아니며 적용 범위가 보편적이지 않습니다. 조용한 보고 기간이 모든 경로가 성공했음을 증명하는 것은 아니며, 반복적인 재시도는 비즈니스에 미치는 영향 예측을 복잡하게 만들 수 있습니다. RFC 8460 섹션 4.4.
원시 결과, 타임스탬프, 도구 버전 또는 명령, 그리고 여기에서 도출한 더 좁은 결론을 유지하세요. 인증서 갱신, MX 마이그레이션, DNSSEC 변경 및 정책 업데이트 후 다시 테스트합니다. 검토 패키지에는 2026년 11월 7일에 보관된 루프백 기록 7개가 포함되어 있으며 인증서 캡처에 도달한 4개 세션에 대한 피어 인증서 바이트가 포함되어 있습니다. 이는 인터넷 SMTP , DNSSEC 검증 체인, 프로덕션 MTA 대기열 또는 전체 MTA-STS 인증서 프로필 준수가 아닌 명시적으로 구성된 신뢰 및 정책 입력을 사용하여 생성된 포트의 로컬 IPv4 Python 클라이언트/서버를 다룹니다. 기록 세션이 검사되었지만 여기서는 다시 실행되지 않았습니다. 예제 인터넷 IPv4 , IPv6 및 백업 경로는 테스트되지 않은 상태로 남아 있습니다. 아무도 로컬 패스를 상속하지 않습니다. 새로 실행된 오프라인 커버리지 모델은 관찰된 하나의 합성 경로가 테스트되지 않은 다른 나열된 경로를 남겨두는지만 확인합니다. 배포 보증을 요청하기 전에 의도한 MTA 및 라우팅 관찰을 캡처합니다.