MTA-STS и TLS-RPT накратко обяснени
MTA-STS и TLS-RPT са две настройки за Вашия домейн, свързани с криптирането на пощата, която пристига при Вас. Ще ги срещнете в тестове като internet.nl или в доклад от сканиране за сигурност. В тази статия ще прочетете какво правят, как изглеждат и дали са Ви необходими. Кратък отговор предварително: за повечето клиенти не е необходимо.
Какъв проблем решава?
Когато един пощенски сървър доставя поща до пощенския сървър на получателя, връзката се криптира, ако е възможно (STARTTLS). Ако това не успее, пощата обикновено просто минава некриптирана. Освен това сертификатът на получаващия сървър често не се проверява строго. Някой, който може да промени трафика по пътя, може по този начин да изключи криптирането или да пренасочи пощата към собствен сървър.
С MTA-STS Вие, като получател, съобщавате: пощата към моя домейн трябва винаги да е криптирана и да отива само към тези пощенски сървъри с валиден сертификат. Изпращач, който поддържа MTA-STS, се придържа към това.
Двата компонента на MTA-STS
1. Запис TXT с име _mta-sts, който указва, че съществува политика:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
id е версиен номер, който избирате сами. Ако промените политиката, променете и id, за да могат изпращачите да изтеглят новата политика.
2. Файл с политика на точно този адрес, чрез https с валиден сертификат:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Ред | Значение |
|---|---|
mode: testing | Изпращачите доставят пощата, както обикновено, но съобщават за проблеми чрез TLS-RPT. С това започвате. |
mode: enforce | Изпращачите доставят пощата само чрез криптирана връзка с валиден сертификат, към един от посочените пощенски сървъри. Ако това не успее, пощата остава в опашката при изпращача. |
mode: none | Няма (повече) политика. |
mx: | Името на Вашия пощенски сървър, точно както във Вашия MX запис. Ако имате повече MX записи, въведете всяко име на отделен ред. При пакет от WebOké това обикновено е името на сървъра на Вашия пакет, както в примера; сертификатът на нашия пощенски сървър е издаден за това име. Ако Вашият MX сочи към Вашето собствено доменно име, е възможно сертификатът да не съответства и не бива да използвате enforce. |
max_age: | Колко дълго изпращачът може да запомни политиката, в секунди. 604800 е една седмица. |
Изпращачът запомня политиката. Поради това MTA-STS не защитава при самия първи път, когато изпращач Ви изпраща поща, но защитава след това.
TLS-RPT: доклади за криптирането
С TLS-RPT изисквате от изпращачите ежедневен доклад за неуспешно криптиране, например поради изтекъл сертификат или име на пощенски сървър, което не е посочено във Вашата политика. Това е един запис TXT с име _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Докладите са технически файлове (JSON). Както при DMARC докладите, използвайте за тях отделна пощенска кутия. Вижте Четене на DMARC доклад.
Редът е следният: първо TLS-RPT, после MTA-STS в режим testing, четене на докладите в продължение на няколко седмици, и едва след това enforce.
MTA-STS или DANE?
DANE прави същото по друг начин: отпечатъкът на сертификата на Вашия пощенски сървър се съхранява в DNS (запис TLSA), защитен с DNSSEC. DANE защитава и първата връзка, но работи само ако DNSSEC е включен. MTA-STS не изисква DNSSEC, но изисква уебсайт с валиден сертификат. Можете да ги използвате едновременно; изпращач, който поддържа DANE, в такъв случай дава предимство на DANE.
Ако пощата Ви е при WebOké, можете да включите DANE в Моят WebOké на същото място като DNSSEC. WebOké впоследствие сам поддържа записите TLSA. Прочетете DNSSEC и DANE и Контролен списък за Internet.nl: постигане на 100% за Вашия уебсайт и имейл.
Имате ли нужда от това?
За повечето клиенти не. Пощата между големи пощенски сървъри в наши дни почти винаги е криптирана, а ако искате допълнително да защитите пощата си при WebOké, DANE е най-простата стъпка. MTA-STS е полезен най-вече ако Вашата организация го изисква, или ако очаквате получатели, които използват MTA-STS, но не и DANE. За собствената Ви изходяща поща не е необходимо да настройвате нищо: това се определя от сървъра, който изпраща пощата Ви.
Самостоятелна настройка при хостинг пакет
Двата TXT записа се задават в DNS Management в DirectAdmin или в раздела DNS в Моят WebOké. Вижте Управление на DNS записи в Моят WebOké (с примери за CNAME, TXT и външни услуги).
Файлът с политика трябва да се намира в поддомейна mta-sts. Във Вашия пакет можете да създадете този поддомейн в Subdomain Management; DirectAdmin автоматично ще заяви SSL сертификат за него. Вижте Създаване и изтриване на поддомейни и Сертификат за www, поддомейни и wildcard. В папката на поддомейна създайте папка .well-known, в която поставяте файла mta-sts.txt.
enforce без внимателна проверка. Ако името на пощенски сървър е грешно или сертификатът на пощенския сървър не съответства на това име, повече няма да получавате поща от изпращачи, които следват MTA-STS. Освен това файлът с политика трябва да може да се отваря директно: изпращачите не следват пренасочване към друг адрес. Започнете с testing, прочетете докладите от TLS-RPT и при съмнение най-напред се свържете с нас.Допълнителна информация: RFC 8461 (MTA-STS) и RFC 8460 (TLS-RPT).