[快速解答]
MTA-STS （邮件传输代理严格传输安全）强制其他邮件服务器通过加密的、经过证书验证的TLS将电子邮件传送到您的域。您在 https://mta-sts.yourdomain.com/.well-known/mta-sts.txt 上发布_mta-sts TXT记录和策略文件https://mta-sts.yourdomain.com/.well-known/mta-sts.txt.它在RFC 8461中定义。
主要事实
- ›DNS记录： _mta-sts.yourdomain.com TXT v=STSv1; id=<唯一ID>。
- ›策略文件列出了版本、模式、mx 和 max_age。
- ›模式：无、测试、强制。
- ›必须使用有效证书通过 HTTPS 提供策略。
- ›每当更新策略时更改 id 值。
由EmailAuth研究团队审核
使用STARTTLS的SMTP加密是机会主义的：如果攻击者取消STARTTLS提议，邮件将恢复为纯文本且没有人注意到。 MTA-STS允许您的域声明发件人必须使用带有有效证书的TLS ，否则根本不发送。
如何设置MTA-STS
- 1
创建策略文件
主机https://mta-sts.yourdomain.com/.well-known/mta-sts.txt包含版本：STSv1、模式：测试、每个邮件服务器一根 mx: 行和 max_age: 604800。
- 2
发布DNS记录
在_mta-sts.yourdomain.com添加一条TXT记录，其中v=STSv1; id=20261102.
- 3
添加TLS-RPT
使用 v=TLSRPTv1 发布_smtp._tls.yourdomain.com v=TLSRPTv1; rua=mailto:tls@yourdomain.com获取故障报告。
- 4
采取行动强制执行
报告显示干净交付后，更改模式以强制执行并更新 ID。
托管是困难的部分
该策略需要具有有效证书的 HTTPS 主机。 EmailAuth通过CNAME为您托管MTA-STS 。
常见问题
什么是MTA-STS ？
告诉发送服务器您的域需要使用有效证书进行TLS加密的标准，以防止入站邮件的降级和中间人攻击。
MTA-STS有必要吗？
它不是传送所必需的，但如果没有它， STARTTLS加密就会被悄悄地剥离。它受到安全框架的推荐，并受到Gmail 、Microsoft 和Yahoo的支持。
如何设置MTA-STS ？
通过 HTTPS 将策略文件托管在mta-sts.yourdomain.com ，发布_mta-sts TXT记录，添加TLS-RPT进行报告，以测试模式启动并实施。
MTA-STS策略缺失：STSFetchResult.NONE 是什么意思？
Microsoft 的检查无法找到该域的有效MTA-STS记录或策略文件。发布两者并确保可以通过 HTTPS 访问策略 URL。
什么是MTA-STS DNS记录？
_mta-sts.yourdomain.com上的TXT记录，其值为v=STSv1; id=20261102 （任何唯一的 ID）。
[ MTA-STS 指导 ]
企业出处
为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。
传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。
EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。
SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密