Onderscheid het verlopen van het falen van de vertrouwensketen, behoud het gerapporteerde eindpunt en valideer het certificaat dat daadwerkelijk wordt gebruikt na verlenging.
Lees de resultaatcategorie nauwkeurig
Referenties: RFC 8460 §4.3.1, RFC 8460 §4.3.2.
certificaat verlopen betekent dat de melder een verlopen certificaat heeft waargenomen. certificaat-niet-vertrouwd omvat verschillende omstandigheden, waaronder onbekende certificeringsinstanties, ketenfouten en naambeperkingen. De foutredencode kan de diagnose beperken, maar is door de verslaggever verstrekte tekst en geen universeel parsercontract. Label niet elk certificaat-niet-vertrouwd rapport als een ontbrekend tussenproduct zonder bewijs. Begin met de beleidscontext en het gerapporteerde ontvangende eindpunt, zodat een SMTP -certificaatprobleem niet wordt verward met sts-webpki-invalid op een MTA-STS HTTPS-beleidshost.
Controleer het certificaat dat de afzender heeft bereikt
Een certificaatbeheerder die een vernieuwd certificaat toont, stelt niet vast dat elke SMTP listener dit bedient. Registreer serienummer of vingerafdruk, geldigheidsinterval, keten en testtijdstempel van de daadwerkelijk geautoriseerde eindpuntcontrole. Vergelijk deze waarden voor de ontvangstroutes die door rapporten worden geïmpliceerd. Een verouderd proces, een vergeten back-uphost of een onvolledige implementatie van de load-balancer kunnen oude certificaten actief laten. Controleer de kloknauwkeurigheid als de geldigheidsgrenzen inconsistent lijken, maar verander de klok niet en vertrouw niet op opslag alleen maar om een mislukte test te laten slagen.
Reproduceer een vernieuwingsoverlappingsprobleem
De synthetische oefening definieert een oud certificaat geldig tot t=100 en een nieuw certificaat geldig van t=90 tot t=200. Op t=110, faalt een luisteraar die nog steeds het oude certificaat levert, voor de geldigheidscontrole van het model, terwijl een luisteraar die het nieuwe certificaat bedient, wel slaagt. Dit reproduceert het implementatieverschil zonder een echt certificaat te genereren. Het bewijst geen ketenvertrouwen, naammatching, intrekkingsgedrag of de grensconventies van de implementatie. Deze hebben een echte TLS validator en gecontroleerd eindpuntbewijs nodig.
Onderzoek vertrouwen zonder het te omzeilen
Referenties: RFC 8461 §4.2, RFC 7672 §3.1.1.
Leg het blad vast en serveer de tussenketen, en vergelijk vervolgens de reden van de verslaggever met een onderhouden testomgeving. Een uitgever die door één lokale machine wordt vertrouwd, wordt mogelijk niet geaccepteerd door de betreffende afzender. Ontbrekende tussenproducten, een onverwacht zelfondertekend certificaat en een beleidsspecifieke beperking zijn verschillende reparaties. Documenteer het geselecteerde validatiemodel. SMTP DANE met DANE-EE-gebruik heeft een andere vertrouwenssemantiek dan Web PKI, dus een STS-achtige conclusie over openbare certificeringsinstanties kan niet zomaar op iedereen worden toegepast TLSA rapport.
Sluit de lus op het gebied van implementatie en rapportage
Referenties: RFC 8460 §4.1.
Pas de goedgekeurde verlenging of ketencorrectie toe op elke betrokken luisteraar, verifieer het herlaadgedrag en bewaar het bewijs van het gepresenteerde certificaat na de wijziging. Vergelijk rapporten waarvan de observatieperioden na de reparatie vallen en houd rekening met aggregatievertragingen. Plan vernieuwingsmonitoring met voldoende doorlooptijd voor eigendom en uitrol, en controleer afzonderlijk of het nieuwe certificaat daadwerkelijk wordt geïmplementeerd. Verlaag niet automatisch een afdwingend transportbeleid om certificaatfouten te verbergen. In deze gids worden alleen gecontroleerde laboratoriumtests vastgelegd; het vernieuwt geen productiecertificaten, wijzigt geen productievertrouwenswinkels en demonstreert geen productieherstel.
Historisch bewijsmateriaal en huidige controles bewaard
De onderstaande transportwaarnemingen zijn op 7 november 2026 vastgelegd en voor deze beoordeling geïnspecteerd, en niet opnieuw uitgevoerd als netwerktests. De nieuwe offline modelcontroles worden apart vastgelegd.
De bewaarde loopback-opname bevat een certificaat dat is ondertekend door de vertrouwde laboratorium-CA waarvan de geldigheid vóór de test is geëindigd; het mislukt met verificatiecode 10, certificaat is verlopen. Een afzonderlijk zelfondertekend blad mislukt met verificatiecode 18, zelfondertekend certificaat. De geldige controle slaagt met dezelfde verwachte hostnaam. Handshake-bewijs met tijdstempel en openbare certificaten worden bewaard, waardoor verval- en vertrouwensfouten afzonderlijk kunnen worden geïnspecteerd. Privésleutels zijn tijdelijk en worden verwijderd. De daadwerkelijke uitrol van de servicevernieuwing en de verificatie van de implementatie door alle luisteraars blijven buiten dit lab. De historische transportrunner vereist Python met cryptografie en loopback-sockets. De uitkomsten zijn begrensd laboratoriumbewijs, en niet de huidige servicegezondheid of productie-interoperabiliteit.
Primaire bronbasis
De velddefinities en rapportagelimieten komen uit RFC 8460 , SMTP TLS -rapportage, secties 3 en 4. Raadpleeg waar STS-validatie wordt besproken RFC 8461. De operationele aanbevelingen onderscheiden zich van protocolvereisten.