Generator · RFC 8461 · RFC 8460

Generator MTA-STS

MTA-STS le cere serverelor care vă trimit mail să livreze doar prin TLS cu certificat valid și doar la serverele MX pe care le listați. Alegeți modul și serverele: primiți fișierul de politică, cele două înregistrări DNS și verificarea lor pe domeniul real.

01Domeniul

Domeniu

02Modul

mode: noneRetrage o politică anterioară, înainte de a renunța la MTA-STS.
mode: testingExpeditorii verifică și raportează, dar livrează oricum. Începutul recomandat.
mode: enforceExpeditorii nu livrează la servere fără TLS valid sau nelistate.

03Serverele MX

Modele mx:, câte unul pe rând

Numele exacte ale serverelor MX, sau *.example.com, care acoperă un singur nivel: mail.example.com, dar nu example.com și nici a.b.example.com (RFC 8461 secțiunea 4.1).

Cât timp țin expeditorii politica în cache (max_age)

RFC 8461 se așteaptă la săptămâni sau mai mult: o politică ținută mult în cache nu poate fi ocolită ușor. În modul testing, o zi vă lasă să corectați repede.

04Rapoarte TLS Unde vin rapoartele (rua)

Adrese de e-mail sau un URL https://, câte unul pe rând. Expeditorii trimit zilnic ce livrări TLS au eșuat. Le citiți cu analizorul de rapoarte TLS.

Previzualizare live

mta-sts.example.com/.well-known/mta-sts.txt

version: STSv1
mode: testing
max_age: 604800

_smtp._tls.example.comTXT

fără rapoarte

Protecție: testing

De la retragere (none), prin testare (testing), la aplicare (enforce).

Verificarea completă, cu DNS, rulează la generare.

Cum treceți la MTA-STS fără să pierdeți mail

Publicați politica în modul testing, împreună cu TLS-RPT: nimic nu se blochează, dar expeditorii raportează ce ar fi eșuat.
Citiți rapoartele TLS zilnice cu analizorul de rapoarte TLS și reparați ce apare: certificate expirate, nume greșite, MX nelistate.
Când rapoartele arată zero eșecuri, treceți la enforce și măriți max_age la câteva săptămâni.

Pe scurt despre MTA-STS

Ce rezolvă
Fără MTA-STS, TLS între servere e oportunist: cineva aflat pe traseu poate elimina oferta STARTTLS și mailul pleacă necriptat. O politică enforce le cere expeditorilor să livreze doar prin TLS valid, doar la MX-urile listate.
Din ce e făcut
Un fișier servit prin HTTPS la mta-sts. + domeniu și o înregistrare TXT _mta-sts cu un id. Expeditorii verifică id-ul și descarcă fișierul doar când acesta se schimbă (RFC 8461 secțiunea 3).
Modelele mx
Fiecare server MX trebuie să se potrivească cu un model și să prezinte un certificat valid pentru numele lui. *.example.com acoperă exact un nivel (secțiunea 4.1).
De ce TLS-RPT
Înregistrarea _smtp._tls (RFC 8460) le spune expeditorilor unde să trimită zilnic un raport cu livrările TLS eșuate. E singurul mod de a vedea problemele înainte de enforce.

Surse: RFC 8461 · RFC 8460

MTA-STS și TLS-RPT: TLS obligatoriu, fără mail pierdut