[ 运输安全 ]

在正确的 HTTPS 位置托管MTA-STS策略文件

直接提供准确的MTA-STS HTTPS 端点，验证其证书和策略主体，并协调发布与发现和缓存。

由EmailAuth研究团队提供 · 8 分钟阅读

[ 要点 ]

  • 使用确切的策略主机名、路径和 HTTPS 端口。
  • 需要直接 HTTP 200 并保留证书和正文证据。
  • 协调工件修订、发现 ID 和缓存策略兼容性。
在此页面上
  1. 要点
  2. 外卖
  3. 按角色
  4. 常见问题
  5. 来源
  6. 词汇表
  7. 相关指南

[ 外卖 ]

直接提供准确的MTA-STS HTTPS 端点，验证其证书和策略主体，并协调发布与发现和缓存。

[ 按角色 ]

这对您意味着什么

选择您的角色以执行后续实际步骤。

IT/邮件管理员

验证确切的 HTTPS 响应

配置屏幕不是端到端证据。

后续步骤

  1. 记录准确的DNS和策略工件。
  2. 独立检查每个相关端点。
  3. 保留时间戳和受控的验收结果。

CISO / SecOps

审查执行和缓存策略风险

交通政策的变化需要一个兼容的恢复计划。

后续步骤

  1. 查看证书和允许的MX模式。
  2. 考虑先前缓存的策略。
  3. 将传输结果与消息验证分开。

创始人/非技术人员

保护传入邮件的连续性

出版物必须具有负责任的服务所有权。

后续步骤

  1. 分配DNS 、邮件和托管所有者。
  2. 包括备用路线和更新责任。
  3. 执行前需要接受证据。

[ 常见问题解答 ]

常见问题

example.com的策略 URL 是什么？

它是在端口 443 上通过 HTTPS 的https://mta-sts.example.com/.well-known/mta-sts.txt 。

RFC 8461

端点可以重定向到存储 URL 吗？

不可以。RFC RFC 8461禁止在策略获取期间遵循 HTTP 3xx 重定向。直接在所需端点提供策略。

RFC 8461

浏览器显示策略就足够了吗？

不可以。浏览器可以遵循重定向或使用经过身份验证的会话。保留原始未经身份验证的响应和证书证据。

RFC 8461

应提供什么状态和媒体类型？

获取需要 HTTP 200。RFC RFC 8461规定发送者应该验证文本/纯文本；使用该媒体类型发布预期的纯文本策略。

RFC 8461

HTTPS 证书是MX证书吗？

不会。策略主机和接收SMTP服务器是不同的端点，具有单独的主机名和证书检查。

RFC 8461

max_age 是DNS TTL 吗？

不是。它是策略缓存生命周期（以秒为单位），与DNS TTL 和 HTTP 缓存控制不同。

RFC 8461

更改 ID 是否会清除所有发件人缓存？

不会。它允许发送者检测修订，但不是全局缓存清除操作。在过渡期间保持兼容性。

RFC 8461

删除端点可以安全地禁用MTA-STS吗？

不要这样认为。查看无模式和以前缓存的策略，并根据批准的停用计划的要求维护端点。

RFC 8461

[ 来源 ]

来源

  1. RFC 8461

    部分 §3.1。 MTA-STS TXT记录 · §3.2。 MTA-STS政策 · §3.3。 HTTPS 策略获取 · §4。政策验证 · §5。保单申请·§8。操作注意事项

  2. RFC 8460

    部分 §3。报告政策·§4。报告格式

[ 词汇表 ]

词汇表

策略域
发现其MTA-STS策略的接收域。

RFC 8461

策略主机
为策略文件提供服务的以 mta-sts 为前缀的 HTTPS 主机。

RFC 8461

策略编号
用于识别策略修订的发现TXT值。

RFC 8461

最大年龄
最大策略缓存生命周期以秒为单位。

RFC 8461

企业出处

为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。

传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。

EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。

政府 大型企业 一级金融机构

SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密

知识库