检查依赖链而不是一个TXT值
MTA-STS 取决于发现、经过身份验证的 HTTPS 策略以及该策略描述的接收邮件主机。一个 TXT记录 看起来正确的文件可以与无法访问的策略文件或不匹配的MX证书共存。因此，有用的检查器会单独报告每个阶段，并解释在早期失败后无法得出哪些后续结论。
本指南建议在不提供有效的EmailAuth工具的情况下进行诊断行为。未发生DNS查找、针对客户域的 HTTPS 获取、 SMTP连接或策略更改。确切的实现大门已经打开：实现并测试承诺的功能。一篇文章、模型或规范本身并不是一个有效的工具。
从预期的接收者策略域中获取发现
从正在评估的策略域开始，并记录其在范围内的原因。发现所有者是_mta-sts后跟该域。根据RFC 8461 ，发现过滤器支持的版本，需要一个可用的匹配TXT记录并接受 CNAME TXT值的路径。一条TXT记录中的多个字符串串联，不插入空格；多个匹配记录是另一个问题。
id 字段标识策略修订，但没有隐含的数字或时间顺序。检查器应该保留准确的标识符，而不是假设看起来更大的字符串是新的。缺少可用的发现记录不会自动删除发件人已缓存的策略。 RFC 8461 ，第 3.1 节.
验证策略主机并检查确切的响应
规定的 URL 使用 https、mta-sts 主机标签和 /.well-known/mta-sts.txt。对于虚构的recipient.example ，它将变为https://mta-sts.recipient.example/.well-known/mta-sts.txt.这是一个构建的插图，而不是获取的资源。策略主机证书必须对该主机有效、未过期并链接到发送者信任的根。
RFC 8461要求 HTTP 200 响应，禁止遵循 HTTP 重定向并禁止用于策略检索的 HTTP 缓存。它建议检查文本/纯媒体类型。重定向到网站主页然后报告成功的检查器评估了错误的行为。区分DNS解析、连接、证书、状态和策略解析失败。证书失败是一个需要解释的结果，而不是绕过安全警告的权限。 RFC 8461 ，第 3.2–3.3 节.
限制检索时间和响应大小。服务器端实现还必须控制出站目标，以便提交的名称不会导致对内部服务或元数据端点的请求。应用网络限制并验证实际目的地，包括地址更改，而不是仅依赖于友好的主机名。这些是拟议的设计要求，而不是已实施的防御措施。 OWASP SSRF 预防指南.
解析模式、生命周期和MX范围在一起
该策略声明版本、模式、max_age 和允许的MX模式， MX要求取决于策略模式。每个允许的MX条目占用自己的行。策略的 max_age 控制其在发件人策略缓存中的生命周期，而不是DNS TTL 或 HTTP 缓存控制标头。显示这些单独的概念，而不是调用所有三个传播时间。
将每个相关MX候选者与允许的模式进行比较。 RFC 8461将通配符限制为整个最左边的标签： *.example 匹配mail.example但不匹配 example 或abexample 。因此，广泛的视觉子串比较是不合适的。保留候选主机以及匹配或失败的确切模式。执行策略中忽略的合法备份MX可能会导致可用性问题。 RFC 8461 ，第 3.2 和 4.1 节.
不要将网站证书与SMTP验证混淆
HTTPS 策略证书对策略检索进行身份验证。接收MX单独需要 STARTTLS 以及适合其自己主机名的证书。成功的网站获取不会演示SMTP服务器的配置。任何后续授权的主动测试都应保留所选的主机、连接上下文、证书身份和信任结果，并说明该工具的实际范围。
仅读取DNS和 HTTPS 的检查器应将SMTP阶段报告为未经测试、不健康。检查一个候选者也不能证明每个MX行为方式都相同。发件人实施和信任存储会影响观察结果，因此单一的诊断优势并不能保证每个通讯员都适用。 RFC 8461 ，第 4 节.
规划从测试到执行的受控行动
在测试模式下，尽管策略验证失败，实施的发送方仍可以进行交付，而兼容的TLS报告可以暴露这些失败。在强制模式下，遵守有效策略的发件人不得将邮件发送给未通过所需检查的候选者。这两种模式都不会将MTA-STS变为 SPF, DKIM 或者 DMARC 验证;该机制涉及SMTP传输。
拟议的过渡应该有一个所有者、批准的策略差异、经过验证的主要和备份MX覆盖范围、证书准备情况和定义的观察期。在决定强制执行是否可接受之前，请查看相关TLS报告和实际发件人行为。没有报告并不能证明已经准备就绪。 RFC 8461 ，第 5 节 和 RFC 8460.
恢复计划必须考虑到以前缓存的策略。删除发现或减少新的 max_age 无法立即缩短已缓存的旧策略。保留先前的策略主体和生命周期并计划授权更新而不是承诺立即回滚。本指南不执行任何转换或恢复操作。
让实际轨迹和工具门保持打开状态
该目录需要： DNS 到 HTTPS 到 MX 验证跟踪和受控测试执行计划。上面建议的检查不是那种痕迹，也不是经过测试的检查器。尚未获得环境证据或批准的过渡计划。标准和安全指南于 2026 年 11 月 8 日进行了审查；独立技术审查、实施测试、实时视觉验证和业主出版物批准仍然悬而未决。