MTA-STS laat een ontvangend domein verwachtingen publiceren voor geverifieerde TLS levering. Het adresseert de SMTP verbinding met de ontvangende service. Het verifieert het Van-adres van de auteur van het bericht niet en codeert het bericht niet helemaal van het apparaat van de ene persoon naar het andere.
Een werkende implementatie verbindt drie dingen: de daadwerkelijke inkomende MX routes van het domein, het HTTPS-beleid en de DNS -record die dat beleid signaleert. TLS -rapportage biedt een apart feedbackpad.
Bepaal de echte ontvangstgrens
Referenties: RFC 8461 §3.4, RFC 8461 §4.
Vermeld de MX hosts die e-mail voor het domein accepteren, inclusief back-upservices en een upstream-beveiligingsgateway. Controleer TLS en certificaatgedrag op de daadwerkelijke openbare ontvangstgrens, niet alleen op een interne mailboxserver.
Leg vast wie eigenaar is van de MX route, de beleidshosting, de certificaatvernieuwing en de rapportagebestemming. Een gehoste mailboxservice host niet noodzakelijkerwijs het MTA-STS -beleid van de klant of beheert niet noodzakelijkerwijs elke gateway ervoor.
Beoordeel subdomeinen afzonderlijk. MTA-STS maakt geen gebruik van overerving van ouderbeleid in DMARC-stijl. Een ontvangend subdomein heeft de configuratie nodig die van toepassing is op dat domein.
Stel een beleid op voor de daadwerkelijke hosts
Referenties: RFC 8461 §3.2, RFC 8461 §3.3.
Voer het beleid uit vanaf de vereiste HTTPS-locatie voor het ontvangende domein. example.com , de locatie is https://mta-sts.example.com/.well-known/mta-sts.txt. De HTTPS-service heeft een geldig certificaat nodig voor de hostnaam van het beleid.
Het beleid identificeert de versie, modus, toegestane MX patronen en maximale cachelevensduur. Begin met een testimplementatie die geschikt is voor de scope en inspecteer de resultaten voordat u tot handhaving overgaat. Kies de observatieperiode op basis van het echte verkeer en de afhankelijkheden in plaats van een steekproefduur als universeel bewijs te behandelen.
Een illustratief beleid voor een fictief single-MX-domein is:
versie: STSv1 modus: testen mx: mx1.example.net max_age: 86400In dit voorbeeld wordt ervan uitgegaan dat mx1.example.net de feitelijke ontvangende host van het domein is en de juiste SMTP TLS ondersteuning heeft. Het is geen kant-en-klaar beleid voor een andere aanbieder. Match toegestane hosts nauwkeurig en neem elke legitieme ontvangstroute op.
Publiceer detectie en rapportage afzonderlijk
Referenties: RFC 8461 §3.1, RFC 8461 §8.1, RFC 8460 §3.
Op _mta-sts.example.com is een illustratieve TXT waarde v=STSv1; id=2026110701. De identificatie signaleert een beleidsherziening. Publiceer en verifieer het beleid voordat u de nieuwe revisie ervan in DNS adverteert.
TLS-RPT gebruikt zijn eigen record op _smtp._tls.example.com . Een illustratief verzoek is v=TLSRPTv1; rua=mailto:tls-reports@example.com, ervan uitgaande dat het adres bestaat en het verzamelpad werkt.
Ga er niet vanuit dat a DMARC rua-bestemming automatisch TLS rapporten ontvangt, of dat alleen MTA-STS -testen een werkend rapportageverzoek creëren. Controleer elk record op de juiste naam en elke bestemming via een eigen verzamelproces.
Test de geïmplementeerde keten
Referenties: RFC 8461 §4, RFC 8461 §6.
Haal het beleid extern op en bevestig dat het vereiste HTTPS-eindpunt de beoogde platte tekst met HTTP 200 bedient. Volg geen HTTP-omleidingen: een omleiding is geen geldige beleidsophaalactie onder RFC 8461 §3.3. Controleer detectie DNS en vergelijk alle geadverteerde MX routes met toegestane patronen.
Test SMTP TLS en certificaatvalidatie op elke ontvangstroute. Een werkend webcertificaat op mta-sts.example.com bewijst niet dat de MX server een geldig SMTP certificaat presenteert.
Beoordeel de beschikbare TLS rapporten en het gecontroleerde leveringsbewijs. Zenddiensten verschillen qua deelname, dus stilte garandeert geen universeel succes. Houd bij elke waarneming de verslaggever, het interval en de betreffende MX bij.
In een synthetisch geval staat een beleid alleen de hoofdgateway toe, terwijl DNS ook een back-up MX adverteert. De back-up accepteert e-mail in gewone tests, maar voldoet niet aan de beleidsovereenkomst. Herstel het beleid of het routeringsontwerp vóór handhaving; wijs de back-up niet af omdat het dagelijkse volume klein is.
Plan handhaving en herstel rond caches
Referenties: RFC 8461 §5, RFC 8461 §8.3.
De afdwingingsmodus kan voorkomen dat ondersteunende afzenders bezorgen via een niet-conforme verbinding. Niet-ondersteunende afzenders vallen buiten deze garantie. Registreer de afhankelijkheid en aanvaardbare operationele reactie voordat u van modus verandert.
Afzendercaches kunnen geldig eerder beleid behouden voor hun max_age. Het verwijderen van Discovery DNS of het verwijderen van het HTTPS-eindpunt is geen onmiddellijke globale terugdraaiing. Voor opname publiceert u een geldig modus: geen beleid met een korte levensduur en werkt u vervolgens de detectie-ID bij. Houd beide eindpunten beschikbaar totdat al het eerdere beleid is verlopen, inclusief oudere revisies met een langere levensduur. Tel elke levensduur vanaf het moment dat die revisie voor het laatst werd weergegeven, niet alleen vanaf de volgende bewerking.
Voor een gatewaymigratie moet u het beleid compatibel maken met de geplande transitie, de nieuwe route verifiëren en cacheversies toestaan. Houd het beleidseindpunt beschikbaar terwijl relevante afzenders er nog steeds op kunnen vertrouwen.
De overdracht moet samengaan met MX configuratie, beleidsgeschiedenis, certificaateigendom en rapportverwerking. MTA-STS blijft nuttig als die bewegende delen bij elkaar worden gehouden.