[ 运输安全 ]
无服务器MTA-STS托管：评估可用性和变更控制
评估记录的 Azure 静态 Web 应用策略主机路由，以实现精确路径传递、自定义域TLS 、路由行为和缓存感知版本。
由EmailAuth研究团队提供 · 8 分钟阅读
[ 要点 ]
- 默认云 URL 不是所需的自定义MTA-STS端点。
- 验证策略字节和路由行为，而不仅仅是 HTTP 可用性。
- 协调 HTTPS 发布和发现更新，同时保留策略缓存历史记录。
[ 外卖 ]
将无服务器主机视为托管公共策略服务，具有经过验证的工件、主机名绑定、语义监控和负责任的发布流程。
[ 按角色 ]
这对您意味着什么
选择您的角色以执行后续实际步骤。
IT/邮件管理员
验证确切的策略端点
成功的主页请求可能会隐藏丢失或重写的策略文件。
后续步骤
- 检查构建输出中是否有确切的已知路径。
- 获取自定义主机名而不遵循重定向。
- 将策略内容和MX模式与批准的意图进行比较。
CISO / SecOps
仔细审查公共路线
身份验证规则和后备行为可能会违反策略获取合同。
后续步骤
- 单独的策略主机和SMTP证书检查。
- 检查匿名访问范围和域验证方法。
- 跟踪故障和停用期间缓存策略的行为。
创始人/非技术人员
分配托管和邮件策略所有者
无服务器托管仍然依赖于部署和证书生命周期管理。
后续步骤
- 命名发布、警报和恢复所有者。
- 需要每个域的内容检查。
- 避免将平台可用性视为完整的邮件保证。
[ 常见问题解答 ]
常见问题
我可以仅在自动生成的静态 Web 应用程序 URL 上发布吗？
不可以。所需的策略域主机名和众所周知的路径必须通过有效的 HTTPS 为文档提供服务。提供程序主机名是部署目标，而不是替代策略 URL。
哪些构建设置决定部署哪些文件？
Azure 记录了app_location 和output_location，当启用skip_app_build 时，app_location 的含义不同。验证实际输出包含预期根相对路径处的策略。
策略路径是否需要登录或重定向？
它必须可根据MTA-STS HTTPS 合同检索。登录依赖项或重定向不能有效替代直接成功的策略响应；发件人不得遵循重定向。
所有静态 Web 应用程序变体都使用仅 CNAME 验证吗？
否。当前的自定义域概述要求对新的企业级边缘自定义域进行 TXT 令牌验证。确认实际的产品型号和发布的值。
证书自动续订取决于什么？
引用的 Microsoft 概述指出，自定义域必须解析为公共 Internet 上的静态 Web 应用程序。保留此操作依赖性并验证实际证书。
HTTPS 中断是否会取消已缓存的强制执行？
不可以。当无法获取实时策略时，具有有效未过期缓存策略的发件人仍必须应用该策略。无缓存发送方遵循规范的独特获取失败行为。
在验证新部署之前是否应该更改发现 ID？
RFC 8461建议在更新发现记录之前发布新的 HTTPS 正文。首先验证部署的字节，以便新信号不会将发送者引导至旧内容。
[ 来源 ]
来源
- RFC 8461 ： SMTP MTA 严格传输安全
部分 §3。策略发现 · §3.2 MTA-STS策略 · §3.3 HTTPS 策略获取 · §3.4 智能主机和子域的策略选择 · §4.1 MX主机验证 · §4.2 收件人 MTA 证书验证 · §5.策略应用 · §8.1 策略更新 · §8.2 策略委托 · §8.3 删除MTA-STS · §8.4 保留MX候选遍历
- RFC 8460 ： SMTP TLS报告
部分 §3。报告政策·§4。报告架构·§5。报告交付
- 微软：配置Azure静态Web应用程序
部分 路由·授权·导航回退·自定义MIME类型
- 微软：与外部提供商的自定义域
部分 获取您的静态 Web 应用程序 URL · 创建CNAME记录 · 输入域名
- Microsoft：静态 Web 应用程序构建配置
部分 构建配置设置·构建配置·跳过构建前端应用程序
- Microsoft：使用 Azure 静态 Web 应用程序自定义域
部分 具有 Azure 静态 Web 应用程序的自定义域 · 域验证 · 证书续订
[ 词汇表 ]
词汇表
- 语义检查
- 建议检查所服务的策略是否意味着批准的路线库存需要什么，而不仅仅是简单的正常运行时间。
企业出处
为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。
传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。
EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。
SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密