MTA-STS odnajdywanie zaczyna się od _mta-sts po którym następuje domena zasad. W przypadku poczty adresowanej na adres user@example.com zwykłym właścicielem wykrywania jest _mta-sts.example.com . Wartość TXT ogłasza wsparcie i identyfikator wersji; rzeczywiste zasady są pobierane osobno przez HTTPS.
Śledź precyzyjnie domenę odbiorcy
Referencje: RFC 8461 §3.1, RFC 8461 §3.4.
Wiadomość wysłana na user@mail.example.com używa mail.example.com jako domeny zasad, zamiast dziedziczyć nadrzędną zasadę example.com . RFC 8461 zapewnia również specjalną obsługę administracyjnie skonfigurowanych inteligentnych hostów: domena inteligentnego hosta staje się domeną zasad. Przed zinterpretowaniem braku rekordu zapisz, którą sytuację routingu testujesz.
The Rekord TXT musi zaczynać się od v=STSv1 i zawierać identyfikator składający się z 1–32 liter lub cyfr ASCII. Identyfikator jednoznacznie identyfikuje instancję zasady. Nie ma tu sugerowanej kolejności: 20261107B to wygodna etykieta operacyjna, a nie protokół czasowy czy instrukcja akceptowania tylko większych liczb.
Licz rekordy, a nie wiersze ekranu
Referencje: RFC 8461 §3.1, RFC 8461 §8.2.
Jeśli zostanie zwróconych wiele rekordów TXT , wykrywanie odrzuca rekordy, które nie zaczynają się od v=STSv1; . Musi pozostać dokładnie jeden odpowiedni, poprawny składniowo rekord. Dwa niezależne rekordy MTA-STS nie stanowią bezpiecznego mechanizmu rollover. Wiele ciągów znaków w jednym rekordzie zasobu TXT jest łączonych bez dodawania spacji.
CNAME odkrycie jest dozwolone i może podążać za łańcuchem do rekordu TXT . Zachowaj właściciela i łańcuch aliasów w dowodach. Delegowanie odnajdywania nie usuwa wymogu pobierania zasad HTTPS pod nazwą hosta zasad domeny odbierającej.
Powtarzaj błędy wykrywania
W izolowanym urządzeniu DNS zwróć jeden rekord zawierający v=STSv1; id=A1 i niepowiązany weryfikacyjny rekord TXT . W zamierzonej selekcji pozostaje jeden kandydat MTA-STS . Dodaj drugi niezależny v=STSv1; id=A2 , w wyniku czego w tej odpowiedzi nie wykryto żadnych dostępnych zasad. Następnie podziel oryginalny rekord na dwa ciągi, v=STSv1; i spację, po której następuje id=A1, i sprawdź, czy konkatenacja przywraca jedną prawidłową wartość.
Zapytaj bezwzględnego właściciela _mta-sts.example.test. z typem TXT dla każdego laboratorium i rekurencyjnym narzędziem do rozwiązywania problemów, statusem zapisywania, granicami rekordów i TTL. Określono tę procedurę, a nie wykonywany publiczny test DNS . Dostarczone urządzenie lokalne zostało ponownie uruchomione na potrzeby tego przeglądu i wykorzystuje wyłącznie logikę liczenia kandydatów; nie jest to narzędzie do rozpoznawania DNS ani analizator pełnego wykrywania.
Zaktualizuj HTTPS przed ogłoszeniem
Referencje: RFC 8461 §3.3, RFC 8461 §5.1, RFC 8461 §8.1.
Najpierw opublikuj i zweryfikuj treść nowej zasady, a następnie zmień identyfikator. W przeciwnym razie nadawca może obserwować nowy identyfikator, jednocześnie pobierając starą treść. Zachowaj stare trasy do wykorzystania podczas przejścia. Brakujące lub nieużyteczne wykrycie nie powoduje usunięcia ważnych, niewygasłych zasad zapisanych w pamięci podręcznej, a zmiana identyfikatora nie gwarantuje natychmiastowego pobrania przez każdego nadawcę. Traktuj pamięć podręczną DNS i nadawców jako oddzielne części zmiany.
Zachowane dowody historyczne i pozostały zakres
Poniżej znajduje się zapis laboratoryjny zachowany z dnia 7 listopada 2026 r., sprawdzony, ale nie przeprowadzony ponownie jako eksperyment sieciowy na potrzeby tego przeglądu. Nowe wykonanie urządzenia offline jest rejestrowane osobno.
Przechwycona logiczna oś czasu zaczyna się od publikacji i pobrania A1 w epoce 1000000: wymuszenie, tylko stary MX , max_age 86400, wygaśnięcie nadawcy 1086400. A1 został modelowany jako ostatni dostarczony o 1000300, więc inny nadawca pobierając na tej granicy mógł go zachować do 1086700. B2 został opublikowany o 1000300 ze starymi i nowymi wzorcami MX i max_age 3600; jego modelowany czas ostatniego podania 1000600 daje wygaśnięcie 1004200. C3 przy 1000600 pozwala tylko na nowe, z czasem ostatniego podania 1000900 i wygaśnięciem 1004500. Są to jawne czasy syntetyczne, a nie obserwowane zdarzenia internetowe. Zachowane dane śledzenia z 7 listopada wskazują, że laboratorium zmieniło odpowiedź DNS na B2 i pobrało treść dual-MX przez HTTPS. Twierdzenie zachowało wcześniejszą pamięć podręczną A1 w niezmienionej postaci; stare pozostało tam dozwolone, a nowe było tam niedozwolone, podczas gdy świeże ciało B2 pozwoliło na nowe. Zatem ogłoszenie identyfikatora i pomyślne nowe pobranie nie powodują same w sobie mutacji innej migawki zapisanej w pamięci podręcznej.