Jak działa to sprawdzenie
Odpytujemy rekord TXT _mta-sts.<domena> i akceptujemy dokładnie jeden rekord zaczynający się od „v=STSv1;” z identyfikatorem id złożonym z 1–32 liter lub cyfr (RFC 8461, sekcja 3.1).
Politykę pobieramy z https://mta-sts.<domena>/.well-known/mta-sts.txt tak, jak robi to serwer nadawcy: certyfikat musi być ważny dla tej nazwy, nie podążamy za przekierowaniami, a odpowiedź musi mieć status HTTP 200 i najwyżej 64 KB. Nazwę rozwiązujemy sami i łączymy się wyłącznie z adresami publicznymi.
Każdy wzorzec mx porównujemy z rekordami MX domeny według reguły dla symboli wieloznacznych z RFC: „*.” pasuje do dokładnie jednej etykiety. W trybie enforce serwer MX nieobjęty żadnym wzorcem nie dostanie poczty od nadawców stosujących Twoją politykę. Odczytujemy też rekord TLS-RPT, dzięki któremu dowiadujesz się o błędach.
Ograniczenia
- Sprawdzamy politykę i jej serwer HTTPS, a nie certyfikaty Twoich serwerów MX — do tego służy test SMTP i TLS.
- Nadawcy przechowują politykę przez max_age sekund i pobierają nową dopiero po zmianie id w rekordzie DNS.
- Nie zapisujemy ani nie logujemy sprawdzanych domen.
Najczęstsze pytania
Czym jest MTA-STS?
Sposobem, w jaki domena informuje serwery nadawców, że jej serwery poczty obsługują TLS z ważnymi certyfikatami i że poczty nie wolno dostarczać przez niezaszyfrowane lub nieuwierzytelnione połączenie. Składa się z rekordu DNS i pliku polityki na stronie HTTPS (RFC 8461).
Zacząć od trybu testing czy enforce?
Zacznij od trybu testing i rekordu TLS-RPT. Raporty pokażą, czy nadawcy mogli zweryfikować Twoje serwery poczty. Przełącz na enforce, gdy raporty nie będą pokazywać błędów, a max_age ustaw na tydzień lub dłużej.
Dlaczego adres polityki nie może przekierowywać?
RFC 8461 zabrania nadawcom podążania za przekierowaniami przy pobieraniu polityki, więc przekierowanie sprawia, że domena wygląda, jakby nie miała polityki. Udostępnij plik bezpośrednio pod mta-sts.<domena>.
Co się dzieje po zmianie pliku polityki?
Nadawcy korzystają z zapisanej kopii do upływu max_age, chyba że zmieni się id w rekordzie DNS. Najpierw zaktualizuj plik, potem zmień id.
Czy potrzebuję MTA-STS przy Google Workspace lub Microsoft 365?
Ich serwery obsługują TLS, ale MTA-STS publikuje Twoja domena, a nie dostawca. Plik polityki utrzymujesz samodzielnie (lub przez usługę) i wpisujesz w nim nazwy serwerów MX dostawcy.