Polityka MTA-STS

Rekord DNS każący serwerom nadawczym wymagać TLS z ważnym certyfikatem dla poczty do tej domeny. Opcjonalny — bez niego poczta może zostać po drodze zdegradowana do zwykłego tekstu.

• Pomoc

SMTP między serwerami poczty szyfruje się „przy okazji”: jeśli coś na trasie wytnie ofertę STARTTLS albo podsunie fałszywy certyfikat, serwer nadawczy wraca do zwykłego tekstu i i tak doręcza wiadomość. MTA-STS (RFC 8461) zamyka tę lukę. Informuje serwery nadawcze, że domena zawsze przyjmuje pocztę przez TLS z ważnym certyfikatem, a w przeciwnym razie nie należy jej doręczać.

Jak sprawdza SiteScan

Wiersz pojawia się tylko wtedy, gdy domena ma rekordy MX. Skaner szuka rekordu TXT pod _mta-sts.example.com zaczynającego się od v=STSv1. Jest opcjonalny, więc „Brak” to neutralny fakt. Rekord TXT to jednak tylko połowa konfiguracji: samego pliku polityki SiteScan nie pobiera.

Jak to skonfigurować

• Opublikuj politykę pod https://mta-sts.example.com/.well-known/mta-sts.txt z ważnym certyfikatem. Zawiera version: STSv1, mode: testing (później enforce), po jednej linii mx: na każdy host poczty i max_age: 604800.
• Dodaj rekord TXT _mta-sts.example.com TXT "v=STSv1; id=20260101" i zmieniaj id przy każdej zmianie polityki.
• Zacznij od trybu testing i dodaj TLS-RPT, by widzieć błędy przed włączeniem enforce.

Dokładne wartości MX zwykle podaje dokumentacja dostawcy poczty; zobacz też uwierzytelnianie poczty.