Trumpas MTA-STS ir TLS-RPT paaiškinimas
MTA-STS ir TLS-RPT yra dvi Jūsų domeno nuostatos, susijusios su pas Jus gaunamo pašto šifravimu. Su jomis susidursite tokiuose testuose kaip internet.nl arba saugumo patikros ataskaitoje. Šiame straipsnyje sužinosite, ką jos daro, kaip atrodo ir ar jos Jums reikalingos. Trumpas atsakymas iš anksto: daugumai klientų tai nėra būtina.
Kokią problemą tai sprendžia?
Kai pašto serveris pristato laišką gavėjo pašto serveriui, jie, jei įmanoma, užšifruoja ryšį (STARTTLS). Jei tai nepavyksta, laiškas dažniausiai vis tiek siunčiamas nešifruotas. Be to, gaunančiojo serverio sertifikatas dažnai nėra griežtai tikrinamas. Tas, kas gali pakeisti srautą kelyje, taip gali išjungti šifravimą arba nukreipti laišką į savo paties serverį.
Su MTA-STS Jūs, kaip gavėjas, pranešate: laiškai mano domenui visada turi būti šifruojami ir siunčiami tik į šiuos pašto serverius su galiojančiu sertifikatu. Siuntėjas, kuris palaiko MTA-STS, to laikosi.
Dvi MTA-STS dalys
1. TXT įrašas vardu _mta-sts, kuris nurodo, kad yra politika:
_mta-sts.jousudomenas.lt. TXT "v=STSv1; id=20261108T120000;"
id yra versijos numeris, kurį pasirenkate patys. Keisdami politiką, pakeiskite ir id, kad siuntėjai gautų naują politiką.
2. Politikos failas tiksliai šiuo adresu, per https su galiojančiu sertifikatu:
https://mta-sts.jousudomenas.lt/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Eilutė | Reikšmė |
|---|---|
mode: testing | Siuntėjai pristato laiškus kaip įprasta, tačiau praneša apie problemas per TLS-RPT. Nuo šio režimo pradedama. |
mode: enforce | Siuntėjai pristato laiškus tik per šifruotą ryšį su galiojančiu sertifikatu, vienam iš nurodytų pašto serverių. Jei tai nepavyksta, laiškas lieka siuntėjo eilėje. |
mode: none | Politikos (nebe)yra. |
mx: | Jūsų pašto serverio vardas, tiksliai toks, koks nurodytas Jūsų MX įraše. Jei turite kelis MX įrašus, kiekvieną vardą nurodykite atskiroje eilutėje. WebOké pakete tai dažniausiai yra Jūsų paketo serverio vardas, kaip pavyzdyje; mūsų pašto serverio sertifikatas yra išduotas tuo vardu. Jei Jūsų MX nukreipia į Jūsų paties domeno vardą, sertifikatas gali jo neatitikti, todėl tokiu atveju negalima naudoti enforce. |
max_age: | Kiek laiko siuntėjas gali prisiminti politiką, sekundėmis. 604800 yra savaitė. |
Siuntėjas prisimena politiką. Todėl MTA-STS neapsaugo pačio pirmo karto, kai siuntėjas Jums siunčia laišką, bet apsaugo visus vėlesnius kartus.
TLS-RPT: ataskaitos apie šifravimą
Su TLS-RPT prašote siuntėjų kasdien pateikti ataskaitą apie nepavykusį šifravimą, pavyzdžiui, dėl pasibaigusio sertifikato arba pašto serverio vardo, kurio nėra Jūsų politikoje. Tai vienas TXT įrašas vardu _smtp._tls:
_smtp._tls.jousudomenas.lt. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jousudomenas.lt"
Ataskaitos yra techniniai failai (JSON). Kaip ir su DMARC ataskaitomis, naudokite atskirą pašto dėžutę. Žr. Kaip skaityti DMARC ataskaitą.
Tvarka: pirmiausia TLS-RPT, tada MTA-STS su testing režimu, kelias savaites skaitykite ataskaitas ir tik po to enforce.
MTA-STS ar DANE?
DANE sprendžia tą pačią problemą kitu būdu: Jūsų pašto serverio sertifikato kontrolinis kodas saugomas DNS (TLSA įraše), apsaugotas DNSSEC. DANE apsaugo ir patį pirmą ryšį, tačiau veikia tik tada, kai įjungtas DNSSEC. MTA-STS nereikalauja DNSSEC, bet reikalauja svetainės su sertifikatu. Jas galite naudoti kartu; siuntėjas, kuris palaiko DANE, tokiu atveju teikia pirmenybę DANE.
Jei Jūsų paštas yra pas WebOké, DANE galite įjungti Mano WebOké toje pačioje vietoje kaip ir DNSSEC. TLSA įrašus po to tvarko pati WebOké. Skaitykite DNSSEC ir DANE bei Internet.nl kontrolinis sąrašas: kaip pasiekti 100% savo svetainei ir el. paštui.
Ar tai Jums reikalinga?
Daugumai klientų ne. Laiškai tarp didelių pašto serverių šiandien beveik visada šifruojami, o jei norite papildomai apsaugoti savo paštą pas WebOké, paprasčiausias žingsnis yra DANE. MTA-STS ypač naudinga, jei to reikalauja Jūsų organizacija arba jei tikitės gavėjų, kurie naudoja MTA-STS, bet ne DANE. Savo paties siunčiamam paštui nieko nustatyti nereikia: tai priklauso nuo serverio, kuris siunčia Jūsų laiškus.
Kaip susikonfigūruoti patiems turint prieglobos paketą
Abu TXT įrašus nustatote DNS Beheer skiltyje DirectAdmin arba skirtuke DNS Mano WebOké. Žr. DNS įrašų tvarkymas Mano WebOké (su CNAME, TXT ir išorinių paslaugų pavyzdžiais).
Politikos failas turi būti subdomene mta-sts. Pakete šį subdomeną galite sukurti per Subdomeno valdymas; DirectAdmin tam automatiškai užsisako SSL sertifikatą. Žr. Subdomenų kūrimas ir šalinimas ir Sertifikatas www, subdomenams ir wildcard. Subdomeno aplanke sukurkite aplanką .well-known, kuriame bus failas mta-sts.txt.
enforce be reikalo. Jei pašto serverio vardas neteisingas arba pašto serverio sertifikatas neatitinka to vardo, siuntėjai, kurie laikosi MTA-STS, nebegalės pristatyti laiškų. Be to, politikos failas turi būti atidaromas tiesiogiai: siuntėjai nepaiso nukreipimų į kitą adresą. Pradėkite nuo testing, skaitykite TLS-RPT ataskaitas, o jei kyla abejonių, pirmiausia susisiekite su mumis.Daugiau informacijos: RFC 8461 (MTA-STS) ir RFC 8460 (TLS-RPT).