MTA-STS 使用两个不同的TLS连接。从 HTTPS 策略主机获取策略；另一个保护到选定MX SMTP传送。有效的网站证书无法确定接收SMTP是否合规，并且有效的SMTP证书无法修复损坏的策略端点。
首先命名失败的端点
参考： RFC 8461 §3.3, RFC 8461 §4.1, RFC 8461 §4.2.
例如example.com ，策略提取验证mta-sts.example.com 。证书必须包含匹配的DNS身份、未过期并链接到发送方接受的信任锚 MTA. A CNAME 目标或重定向目标不会自动替换此检查中的策略主机名。
SMTP验证改为检查选定的MX主机名。另请确认主机名至少与一种允许的策略 mx 模式匹配。这些是不同的比较：通配符策略允许并不会使不相关的证书有效。保留选定的名称、提供的链、验证时间和信任存储上下文。
诊断不仅仅是过期
参考： RFC 8461 §7.1, RFC 6066 §3.
失败可能来自过期的叶子、主机名不匹配、中间证书丢失或不正确、不受信任的链或提供默认证书的端点。将服务器名称指示设置为 HTTPS 的策略主机名和SMTP的MX主机名进行测试。共享托管服务可以根据 SNI 呈现不同的链。
尽可能比较受影响的发件人环境的观察结果。不同的信任库或旧的客户端软件可能会产生不同的结果。一台工作站上的绿色浏览器图标是该浏览器的有用证据，而不是所有发送 MTA 接受同一链的承诺。
保留可重复的探针
工具参考： OpenSSL 3.5 s_客户端手册。安装的 OpenSSL 3.5.7 帮助确认了这些选项；没有声明新的端点探针。
对于授权策略主机，将每个 POLICY_HOST 占位符替换为真实策略主机名：
openssl s_client -connect POLICY_HOST:443 -servername POLICY_HOST -verify_hostname POLICY_HOST -verify_return_error -showcerts不要按字面意思运行占位符。在需要时提供平台适当的可信 CA 存储。保存stdout、stderr、OpenSSL版本和验证结果。然后使用验证 HTTPS 客户端检索确切的策略 URL，并禁用重定向跟随，并确认 HTTP 200 和预期的策略正文。
对于授权的MX ，请用实际的MX主机名替换每个 MX_HOST 占位符：
openssl s_client -starttls smtp -connect MX_HOST:25 -服务器名称 MX_HOST -verify_hostname MX_HOST -verify_return_error -showcerts在两个探测器上使用相关的信任存储。参考： RFC 8461 §4.2 和 OpenSSL 主机名检查语义。仅成功的 OpenSSL 主机名检查并不能证明MTA-STS合规性：当不存在适用的 SAN 时，通用主机名验证可以回退到证书公用名。 RFC 8461 §4.2 特别要求SMTP证书包含具有匹配 DNS-ID 的使用者备用名称。单独检查证书 SAN 并确认所选MX主机名与其中的DNS条目匹配；不接受仅通用名称匹配作为所需的SMTP身份检查。还可以根据策略独立验证MX 。对于 HTTPS 策略主机， RFC 8461 §3.3 允许仅匹配 DNS-ID 标识符，并仅允许通配符作为完整的最左侧标签，而通用 OpenSSL 默认值可以接受部分标签通配符；将这两个探测器视为诊断程序，而不是完整的MTA-STS证书配置文件验证程序。测试环境中的出站端口 25 阻止是连接限制，而不是远程证书已损坏的证据。没有探测生产终点。下面保留的 2026 年 11 月 7 日证书链观察是针对环回服务捕获的，不会在此处重新运行。
修复链条而不削弱保单索赔
参考： RFC 8461 §3.3, RFC 8461 §4.2.
通过其批准的服务工作流程在受影响的端点安装正确的证书和中间链。重新测试原始名称和所有相关地址。请勿使用不安全的提取作为成功的验证结果或扩大MX模式以隐藏证书不匹配。
刷新失败不会丢弃有效的缓存策略。在事件通信中保持这种区别：修复策略 HTTPS 支持未来的提取，而修复损坏的MX可以恢复执行旧策略的发件人的合规传送。独立监控两个证书生命周期。
保留的历史证据和剩余范围
以下是保留的 2026 年 11 月 7 日实验室记录，经过检查但未作为本次审查的网络实验重新运行。新的离线夹具执行被单独记录。
带时间戳的本地跟踪捕获了 HTTPS 和SMTP主机名故障。使用wrong.example .test 证书的 HTTPS 失败，原因是mta-sts.example .test 的主机名不匹配。过期证书失败，证书已过期。新生成的有效策略主机证书随后恢复了 HTTPS 检索。单独公布的SMTP服务 STARTTLS 并首先完成TLS 1.3 并获得有效的实验室证书；安装错误的证书后， mx.old.example的客户端验证失败。所有信任检查都使用显式的一次性实验室 CA 和请求的 SNI 名称。保留的时间戳标识观察结果。这些证书是历史固定材料，而不是当前服务运行状况的凭证或证明。成功的 HTTPS 获取事件还会保留证书指纹；失败的 HTTPS 和SMTP事件保留验证结果，但不包含对等证书指纹。这是保留的孤立握手证据，而不是声称公共提供商存在证书问题或公共证书更新已得到验证。