Що таке MTA-STS?
MTA-STS дозволяє домену вимагати, щоб вхідна пошта доставлялася через автентифікований TLS, захищаючи від атак пониження й «людина посередині». IPeek читає TXT-запис _mta-sts і отримує файл політики, опублікований за адресою mta-sts.your-domain. Він закриває прогалину, залишену опортуністичним STARTTLS, який зловмисник може тихо зрізати.
Як MTA-STS публікує й застосовує політику
MTA-STS складається з двох частин. TXT-запис за адресою _mta-sts.your-domain містить версію та ідентифікатор політики, що повідомляє серверам-відправникам про існування політики й змінюється, коли ви її оновлюєте. Сама політика зберігається у текстовому файлі, що віддається через HTTPS за адресою https://mta-sts.your-domain/.well-known/mta-sts.txt. Цей файл містить версію, режим, дозволені імена хостів MX і час кешування max_age. Відправник, що підтримує MTA-STS, отримує й кешує політику, а потім відмовляється доставляти до будь-якого MX, чий сертифікат не валідується за нею.
Як читати результати MTA-STS
IPeek показує, чи існує TXT-запис _mta-sts і чи доступний файл політики через HTTPS. Найважливіше значення — режим. none означає, що жодна політика не діє, testing означає, що про збої повідомляється, але пошта все одно проходить, а enforce означає, що відправник має перервати доставку, якщо автентифікація TLS не вдалася. Перевірте, що записи mx у політиці збігаються з вашими реальними записами MX і що сертифікат HTTPS на хості політики чинний. Високий max_age, часто 604800 секунд, покращує захист, бо кешовані політики стійкі до підробки в реальному часі.
Поширені проблеми MTA-STS і як їх виправити
Найпоширеніша помилка — TXT-запис, що існує, тоді як файл політики повертає 404 чи переадресацію, що робить політику непридатною. Хост політики має віддавати чинний HTTPS, тож прострочений чи невідповідний сертифікат на mta-sts.your-domain повністю ламає застосування. Записи MX, що розходяться з вашим DNS, спричиняють збої доставки, щойно ви перейдете на enforce. Розгортайте спершу в testing, відстежуйте звіти TLS-RPT на предмет збоїв і переходьте на enforce лише після того, як підтвердите, що кожен MX пред’являє чинний відповідний сертифікат.