[Szybka odpowiedź]
MTA-STS (Mail Transfer Agent Strict Transport Security) wymusza na innych serwerach pocztowych dostarczanie poczty e-mail do Twojej domeny za pomocą szyfrowanego TLS potwierdzonego certyfikatem. Publikujesz rekord TXT _mta-sts i plik zasad pod adresem https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Jest to zdefiniowane w RFC 8461 .
Kluczowe fakty
- ›Rekord DNS : _mta-sts.yourdomain.com TXT v=STSv1; id=< unikalny identyfikator>.
- ›Plik zasad zawiera listę wersji, trybu, mx i max_age.
- ›Tryby: brak, testowanie, wymuszanie.
- ›Zasady muszą być udostępniane za pośrednictwem protokołu HTTPS z ważnym certyfikatem.
- ›Zmień wartość identyfikatora przy każdej aktualizacji zasad.
Sprawdzone przez zespół badawczy EmailAuth
Szyfrowanie SMTP za pomocą STARTTLS jest oportunistyczne: jeśli atakujący pozbawi ofertę STARTTLS , poczta powróci do zwykłego tekstu i nikt tego nie zauważy. Dzięki MTA-STS Twoja domena może zadeklarować, że nadawcy muszą używać TLS z ważnym certyfikatem lub w ogóle nie dostarczać.
Jak skonfigurować MTA-STS
- 1
Utwórz plik zasad
Host https://mta-sts.yourdomain.com/.well-known/mta-sts.txt zawierający wersję: STSv1, tryb: testowanie, jedną linię mx: na serwer pocztowy i max_age: 604800.
- 2
Opublikuj rekord DNS
Dodaj rekord TXT pod adresem _mta-sts.yourdomain.com z v=STSv1; id=20261102.
- 3
Dodaj TLS-RPT
Opublikuj _smtp._tls.yourdomain.com z v=TLSRPTv1; rua=mailto:tls@yourdomain.com aby uzyskać raporty o błędach.
- 4
Przesuń, aby wymusić
Gdy raporty pokażą czystą dostawę, zmień tryb, aby wymusić i zaktualizować identyfikator.
Hosting to najtrudniejsza część
Polityka wymaga hosta HTTPS z ważnym certyfikatem. EmailAuth hostuje dla Ciebie MTA-STS poprzez CNAME .
Często zadawane pytania
Co to jest MTA-STS ?
Standard informujący serwery wysyłające, że Twoja domena wymaga szyfrowania TLS z ważnym certyfikatem, co zapobiega atakom typu „man-in-the-middle” na pocztę przychodzącą.
Czy MTA-STS jest konieczny?
Nie jest to wymagane do dostawy, ale bez niego szyfrowanie STARTTLS można po cichu usunąć. Jest zalecany przez struktury bezpieczeństwa i obsługiwany przez Gmail , Microsoft i Yahoo .
Jak skonfigurować MTA-STS ?
Hostuj plik zasad na stronie mta-sts.yourdomain.com przez HTTPS, opublikuj rekord TXT _mta-sts , dodaj TLS-RPT na potrzeby raportowania, rozpocznij w trybie testowym i przejdź do egzekwowania.
Czego brakuje w polityce MTA-STS : co oznacza STSFetchResult.NONE?
Kontrole firmy Microsoft nie mogły znaleźć prawidłowego rekordu MTA-STS ani pliku zasad dla domeny. Opublikuj oba i upewnij się, że adres URL zasad jest dostępny za pośrednictwem protokołu HTTPS.
Co to jest rekord DNS MTA-STS ?
Rekord TXT pod adresem _mta-sts.yourdomain.com o wartości v=STSv1; id=20261102 (dowolny unikalny identyfikator).
[ MTA-STS przewodnik ]
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK