[Raskt svar]
MTA-STS (Mail Transfer Agent Strict Transport Security) tvinger andre e-postservere til å levere e-post til domenet ditt over kryptert, sertifikatvalidert TLS . Du publiserer en _mta-sts TXT post og en policyfil på https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Det er definert i RFC 8461 .
Nøkkelfakta
- ›DNS post: _mta-sts.yourdomain.com TXT v=STSv1; id=< unik id>.
- ›Policyfilen viser versjon, modus, mx og max_age.
- ›Modi: ingen, testing, håndheving.
- ›Retningslinjer må leveres over HTTPS med et gyldig sertifikat.
- ›Endre id-verdien hver gang du oppdaterer policyen.
Gjennomgått av EmailAuth -forskningsteamet
SMTP kryptering med STARTTLS er opportunistisk: Hvis en angriper fjerner STARTTLS -tilbudet, faller e-post tilbake til ren tekst og ingen legger merke til det. MTA-STS lar domenet ditt erklære at avsendere må bruke TLS med et gyldig sertifikat, eller ikke levere i det hele tatt.
Hvordan sette opp MTA-STS
- 1
Opprett policyfilen
Vert https://mta-sts.yourdomain.com/.well-known/mta-sts.txt som inneholder versjon: STSv1, modus: testing, en mx: linje per e-postserver og max_age: 604800.
- 2
Publiser DNS posten
Legg til en TXT post på _mta-sts.yourdomain.com med v=STSv1; id=20261102.
- 3
Legg til TLS-RPT
Publiser _smtp._tls.yourdomain.com med v=TLSRPTv1; rua=mailto:tls@yourdomain.com for å få feilrapporter.
- 4
Flytt for å håndheve
Etter at rapportene viser ren levering, endre modus for å håndheve og oppdatere ID-en.
Hosting er den vanskelige delen
Policyen trenger en HTTPS-vert med et gyldig sertifikat. EmailAuth er vert for MTA-STS for deg via en CNAME .
Ofte stilte spørsmål
Hva er MTA-STS ?
En standard som forteller sendeservere at domenet ditt krever TLS kryptering med et gyldig sertifikat, og forhindrer nedgradering og man-in-the-midten-angrep på innkommende e-post.
Er MTA-STS nødvendig?
Det er ikke nødvendig for levering, men uten det kan STARTTLS kryptering fjernes stille. Det anbefales av sikkerhetsrammeverk og støttes av Gmail , Microsoft og Yahoo .
Hvordan setter jeg opp MTA-STS ?
Vær vert for policyfilen på mta-sts.yourdomain.com over HTTPS, publiser _mta-sts TXT posten, legg til TLS-RPT for rapportering, start i testmodus og flytt for å håndheve.
Hva mangler MTA-STS policy: STSFetchResult.NONE betyr?
Microsofts sjekker kunne ikke finne en gyldig MTA-STS post eller policyfil for domenet. Publiser begge deler og sørg for at policy-URLen er tilgjengelig via HTTPS.
Hva er MTA-STS DNS posten?
En TXT -post på _mta-sts.yourdomain.com med verdien v=STSv1; id=20261102 (en hvilken som helst unik id).
[ MTA-STS guide ]
Enterprise herkomst
Hvorfor topp finansinstitusjoner og regjeringer pensjonert e-postsikkerhetsdashboardene deres.
Tradisjonelle e-postautentiseringsplattformer selger deg et dashbord og ber ingeniørene dine gjøre jobben. I miljøer med høy innsats betyr manuell overvåking forsinket håndheving, konfigurasjonsdrift og uovervåkede skyggedomener.
EmailAuth er den agentiske e-postopprinnelsesplattformen. Våre agenter håndhever p=reject, hold tredjepartssendere på linje og flytt domenene dine til fulle RFC 9989 compliance, den nye DMARC standarden, med menneskelig-in-the-loop reviderbarhet.
SaaS · Dedikert leieforhold · Air-gaped on-prem · BYOK-kryptering