Przed dodaniem rekordów zlokalizuj brakujący krok
Ostrzeżenie, że MTA-STS brak polityki opisuje wynik odkrycia, a nie diagnozę. Domenie odbierającej może brakować rekordu wykrywania, publikować kilka konkurujących rekordów, obsługiwać niewłaściwy zasób HTTPS lub mieć już politykę, której jeden nadawca nie może odzyskać. Tworzenie kolejnego Rekord TXT przed rozdzieleniem tych przypadków może pogorszyć problem, który można naprawić. Zacznij od dokładnej domeny i dowodów stojących za ostrzeżeniem.
To dokumentalny plan śledztwa. Nie przeprowadzono wyszukiwania DNS , pobrania zasad z hosta klienta, połączenia SMTP ani zmiany dostawcy. Opisany przypadek poniżej jest fikcyjny. Wnioski operacyjne wymagają obserwacji z odpowiednią sygnaturą czasową i, jeżeli są dostępne, stanu polityki nadawcy zgłaszającego.
Ustal domenę zasad
W przypadku zwykłego dostarczania do skrzynki pocztowej w witrynie example.com wykrywanie rozpoczyna się o godz _mta-sts.example.com. Polityka jest pobierana z https://mta-sts.example.com/.well-known/mta-sts.txt. Skrzynka pocztowa w subdomenie wymaga wykrycia tej subdomeny; nadawcy spełniający wymagania nie mogą odwoływać się do zasad nadrzędnych. Administracyjnie skonfigurowany inteligentny host wprowadza inny wybór domeny zasad, dlatego należy zapisać, czy dochodzenie dotyczy dostarczania bezpośredniego, czy przekazywania. RFC 8461 sekcje 3.1–3.4
Zapytaj właściciela ostrzeżenia o jego sygnaturę czasową, nazwę, której dotyczy zapytanie, typ rekordu i pełny wynik. Zrzut ekranu z informacją „brakujący” nie umożliwia rozróżnienia nieistniejącej nazwy, pomyślnej odpowiedzi niezawierającej użytecznego rekordu ani przekroczenia limitu czasu. Zachowaj zarówno autorytatywne, jak i rekurencyjne obserwacje, jeśli zostaną później autoryzowane. Negatywna pamięć podręczna DNS może zachować wcześniejszą nieobecność, więc bieżący wyświetlacz panelu sterowania nie wyjaśnia odpowiedzi każdego mechanizmu rozpoznawania nazw. RFC 2308
Oceń pełną odpowiedź odkrywczą
Zapis odkrycia zaczyna się od v=STSv1; i zawiera id identyfikowanie instancji polityki. Identyfikator sygnalizuje zmianę; nie zawiera polityki ani nie narzuca porządku chronologicznego. Po odrzuceniu rekordów bez wymaganego przedrostka wersji musi pozostać dokładnie jeden użyteczny rekord. Dlatego wiele pasujących rekordów TXT jest możliwą przyczyną niepowodzenia wyszukiwania, a nie powodem dodania trzeciego. RFC 8461 sekcja 3.1
Zachowaj granice rekordów. Kilka ciągów znaków w cudzysłowie w jednym rekordzie TXT jest łączonych bez wstawiania spacji; kilka rekordów TXT pozostaje odrębnymi rekordami. Śledź każde odkrycie CNAME łańcuch i zachowaj docelową odpowiedź. RFC 8461 zezwala na takie delegowanie. Interfejs edycyjny dostawcy DNS może wyświetlać te przypadki w podobny sposób, dlatego przed zaproponowaniem zapisu porównaj rzeczywistą odpowiedź z zamierzoną konfiguracją. RFC 8461 sekcja 3.1
Śledź pobieranie HTTPS osobno
Prawidłowy rekord wykrywania prowadzi do stałej lokalizacji zasad HTTPS. Usługa musi przedstawić zaufany, nieważny certyfikat ważny dla hosta zasad. Prawidłowe pobranie wymaga protokołu HTTP 200; Nie należy stosować przekierowań. Przeglądarka, która po cichu podąża za przekierowaniem, może zatem sprawić, że uszkodzony punkt końcowy będzie wyglądał na zdrowy. Przechwyć status pierwszej odpowiedzi i oryginalny adres URL, a nie tylko ostatecznie wyświetloną stronę. RFC 8461 sekcja 3.3
Sprawdź zwrócone ciało jako tekst polityki. Sprawdź wersję, tryb, maksymalny wiek i wymagane wpisy MX pod kątem gramatyki. Nadawcy powinni sprawdzić typ wiadomości tekstowej/zwykłej. Strona logowania lub markowy dokument błędu zwrócony ze statusem 200 nie stał się użyteczną polityką. Składnia pozwala na powtarzanie pól MX ; zduplikowane pola singletonowe są obsługiwane inaczej, więc zachowaj oryginalne bajty zamiast je po cichu normalizować. RFC 8461 sekcja 3.2
Trzymaj odkrycie oddzielnie od sprawdzania dostawy
Po uzyskaniu zasady porównaj jej wzorce MX z rzeczywistymi kandydatami na nazwy hostów. Dozwolony symbol wieloznaczny obejmuje jedną pełną etykietę znajdującą się skrajnie po lewej stronie, a nie dowolne poziomy. Następnie oceń STARTTLS oraz certyfikat serwera odbierającego dla wybranego hosta MX . Są to różne kontrole od sprawdzania poprawności certyfikatu w usłudze zasad HTTPS. Pomyślne pobranie zasad nie certyfikuje serwerów pocztowych. RFC 8461 sekcje 4.1–4.2
Zarejestruj także stan pamięci podręcznej nadawcy. Niepowodzenie wykrycia lub pobrania aktywnych zasad nie powoduje usunięcia ważnych, niewygasłych zasad z pamięci podręcznej. I odwrotnie, nadawca bez użytecznych zasad buforowanych w pamięci podręcznej i niepowodzeniem pobierania HTTPS postępuje tak, jakby domena nie wdrożyła MTA-STS . Oświadczenie to dotyczy wyłącznie MTA-STS ; inna obowiązująca polityka transportowa może w dalszym ciągu ograniczać dostawę. RFC 8461 sekcja 3.3
Przepracuj fikcyjną sprawę z duplikatem akt
Załóżmy, że fikcyjny operator example.com po zmianie dostawcy usług hostingowych widzi ostrzeżenie o braku zasad. Proponowany pakiet dowodów zawiera dwa oddzielne rekordy TXT dotyczące wykrywania, jeden z id=old1 i jeden z id=new2, oba zaczynające się od prawidłowego przedrostka wersji. Zakłada się, że punkt końcowy HTTPS obsługuje prawidłowe zasady testowania. Są to wymyślone obserwacje, a nie zebrane tutaj wyniki.
Zgodnie z regułą wykrywania dwa zachowane zapisy uniemożliwiają wybór dostępnej polisy. Prawdopodobna naprawa polega na zidentyfikowaniu zamierzonego bieżącego rekordu i sprawdzeniu usunięcia przestarzałego duplikatu, a nie na odtworzeniu usługi HTTPS. Ta propozycja nadal wymaga zatwierdzenia własności i zmiany. Kolejne śledzenie zweryfikowałoby jeden rekord wykrycia, zamierzoną treść HTTPS i zasięg MX . Stara pamięć podręczna nadawców może powodować inne zachowanie do czasu zmiany stanu zasad.
Zakończ decyzją o ograniczonym wdrożeniu
Jeśli badanie potwierdzi nowe wdrożenie, przygotuj plan kontrolowanych testów w celu wyegzekwowania. Zidentyfikuj wszystkie planowane hosty MX , w tym kopie zapasowe, ustal dostępność HTTPS i zorganizuj TLS-RPT kolekcja. W trybie testowym można zgłaszać błędy weryfikacji MTA-STS bez konieczności blokowania doręczenia przez nadawcę. Cicha skrzynka pocztowa z raportami nie jest wystarczającym dowodem gotowości. RFC 8461 sekcje 5–6
W przypadku zmiany treści zasad opublikuj treść HTTPS przed zmianą identyfikatora wykrywania i konta dla wartości TTL DNS i istniejących pamięci podręcznych. Zachowaj razem oryginalny ślad, proponowaną różnicę i właściciela wycofania. Aktualną erratę RFC 8461 sprawdzono osobno; zgłoszone propozycje nie zostały potraktowane jako zatwierdzone zamienniki. Brakujące śledzenie DNS-do-HTTPS-do-MX i dowody kontrolowanego wdrożenia pozostają wyraźnymi bramkami do wydania. RFC 8461 sekcja 8.1 Aktualna errata