MTA-STS a descoberta começa em _mta-sts seguida pelo domínio de política. Para mensagens endereçadas a user@example.com , o proprietário comum da descoberta é _mta-sts.example.com . O valor TXT anuncia suporte e um identificador de revisão; a política real é buscada separadamente por HTTPS.
Siga o domínio do destinatário com precisão
Referências: RFC 8461 §3.1, RFC 8461 §3.4.
Uma mensagem para user@mail.example.com usa mail.example.com como seu domínio de política em vez de herdar a política pai example.com . RFC 8461 também oferece tratamento especial para hosts inteligentes configurados administrativamente: o domínio de host inteligente torna-se o domínio de política. Registre qual situação de roteamento você está testando antes de interpretar um registro ausente.
O Registro TXT deve começar com v=STSv1 e incluir um ID de 1 a 32 letras ou dígitos ASCII. O identificador identifica exclusivamente uma instância de uma política. Não há ordem implícita: 20261107B é um rótulo operacional conveniente, não um protocolo de tempo ou uma instrução para aceitar apenas números maiores.
Contar registros em vez de linhas da tela
Referências: RFC 8461 §3.1, RFC 8461 §8.2.
Se vários registros TXT forem retornados, a descoberta descartará registros que não comecem com v=STSv1; . Exatamente um registro aplicável e sintaticamente válido deve permanecer. Dois registros MTA-STS independentes não são um mecanismo de rollover seguro. Várias strings dentro de um registro de recurso TXT são concatenadas sem adição de espaços.
CNAME a descoberta é permitida e pode seguir uma cadeia até o registro TXT . Mantenha o proprietário e a cadeia de alias nas evidências. A delegação de descoberta não remove o requisito de recuperação da política HTTPS no nome do host da política do domínio receptor.
Reproduzir falhas de descoberta
Em um dispositivo DNS isolado, retorne um registro contendo v=STSv1; id=A1 e um registro TXT de verificação não relacionado. A seleção pretendida mantém um candidato MTA-STS . Adicione uma segunda v=STSv1; id=A2 e o resultado é nenhuma política disponível descoberta por meio dessa resposta. Em seguida, divida o registro original em duas strings, v=STSv1; e um espaço seguido por id=A1, e verifique se a concatenação restaura um valor válido.
Consultar o proprietário absoluto _mta-sts.example.test. com tipo TXT em relação a cada autoridade de laboratório e um resolvedor recursivo de laboratório, salvando status, limites de registro e TTLs. Este procedimento é especificado, não um teste DNS público executado. O fixture local fornecido foi executado novamente para esta revisão e exerce apenas a lógica de contagem de candidatos; não é um resolvedor DNS ou um analisador de descoberta completo.
Atualize o HTTPS antes do anúncio
Referências: RFC 8461 §3.3, RFC 8461 §5.1, RFC 8461 §8.1.
Publique e verifique primeiro o novo corpo da política e depois altere o ID. Caso contrário, um remetente poderá observar o novo ID enquanto busca o corpo antigo. Mantenha as rotas antigas utilizáveis durante a transição. A descoberta ausente ou inutilizável não apaga uma política válida e não expirada em cache, e uma alteração de ID não é uma busca imediata garantida por todos os remetentes. Trate DNS e os caches do remetente como partes separadas da mudança.
Evidências históricas retidas e escopo restante
A seguir está o registro de laboratório retido de 7 de novembro de 2026, inspecionado, mas não executado novamente como um experimento de rede para esta revisão. A nova execução de fixture offline é registrada separadamente.
Uma linha do tempo lógica capturada começa com A1 publicado e buscado na época 1000000: aplicar, somente MX antigo, max_age 86400, expiração do remetente 1086400. A1 foi modelado como último veiculado em 1000300, portanto, outro remetente buscando nesse limite poderia mantê-lo até 1086700. B2 foi publicado em 1000300 com padrões MX antigos e novos e idade máxima 3600; seu último horário modelado 1000600 produz a expiração 1004200. C3 em 1000600 permite apenas novos, com o último horário veiculado 1000900 e expiração 1004500. Esses são horários sintéticos explícitos, não eventos observados na Internet. O rastreamento retido de 7 de novembro registra que o laboratório alterou sua resposta DNS para B2 e buscou o corpo dual-MX por HTTPS. Uma asserção preservou o cache A1 anterior inalterado; o antigo permaneceu permitido e o novo permaneceu proibido, enquanto o novo corpo B2 permitiu o novo. Assim, um anúncio de identificador e uma nova busca bem-sucedida não alteram por si só outro instantâneo armazenado em cache.