مدقق MTA-STS
يتم تشفير البريد بين الخوادم عندما يوافق الطرفان عليه، ويمكن للمهاجم الموجود في المنتصف أن يجعلهما غير موافقين. MTA-STS هي الطريقة التي يقول بها النطاق أن بريده يجب أن يصل مشفرًا أو لا يصل على الإطلاق. تحقق من النطاق الذي تتحكم فيه ومعرفة ما إذا كانت السياسة منشورة وما إذا تم فرضها.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
ما هي MTA-STS، في فقرة واحدة
عندما يقوم خادم بريد بتسليم بريد إلى آخر، فإنه يبدأ بنص عادي ويطلب التبديل إلى TLS. يمكن للمهاجم الموجود في المسار إزالة هذا الطلب، ويستمر الخادمان في العمل دون تشفيردون أن يلاحظ أحد. MTA-STS يسد هذه الفجوة. ينشر نطاقك سجل TXT قصيرًا وملف سياسة على عنوان ويب خاص به؛ يقوم خادم الإرسال الذي يدعمها بجلب السياسة، ويتذكرها، ثم يسلمها فقط إلى خوادم البريد المذكورة فيها وفقط عبر اتصال TLS بشهادة صالحة.
خمسة أسباب للتحقق من MTA-STS الخاصة بك
01
التشفير الذي يستطيع المهاجم إيقافه ليس تشفيرًا
انتهازيةيحمي TLS من أي شخص يقرأ البريد بشكل سلبي. إنه لا يحمي من أي شخص يرغب في التدخل، لأن الرجوع إلى إصدار أقدم يكون صامتًا. MTA-STS هو عنصر التحكم الذي يحول "المشفر عادةً" إلى "مرفوض ما لم يكن مشفرًا".
02
السجل وحده لا يفعل شيئا
يُخبر سجل TXT المرسلين فقط بوجود سياسة ما. السياسة نفسها موجودة في https://mta-sts.yourdomain/.well-known/mta-sts.txt، ويجب أن تكون قابلة للوصول إليها بشهادة صالحة بهذا الاسم. يعد السجل الذي لا يحتوي على ملف سياسة العمل هو الطريقة الأكثر شيوعًا للاعتقاد بأنك محمي عندما لا تكون محميًا.
03
وضع الاختبار هو نقطة البداية وليس الوجهة
تحتوي السياسة على الوضع: none أو testing أو enforce. في وضع الاختبار المرسلينلا يزال يتم التسليم عند فشل الشيك والإبلاغ عنه فقط. هذه هي الطريقة الصحيحة للبدء، وتبقى العديد من النطاقات هناك لسنوات. enforce فقط هو الذي يوقف التسليم الذي تم تخفيضه.
04
سياسة تسرد خوادم البريد الخاطئة وترفض بريدك الخاص
تحدد السياسة مضيفي MX المسموح لهم باستلام البريد الخاص بالمجال. انتقل إلى موفر بريد جديد دون تحديثه ولن يقوم المرسلون الذين يفرضون السياسة بالتسليم إلى الخوادم الجديدة على الإطلاق. هذايعد أيضًا خطر max_age الطويل: تظل السياسة الخاطئة مخزنة مؤقتًا بواسطة المرسلين طوال المدة التي وعدت بها.
05
TLS-RPT هو كيف تكتشف ذلك
تعد تقارير TLS بمثابة سجل TXT ثانٍ يخبر المرسلين بمكان إرسال التقارير اليومية حول فشل التسليم ومشكلات السياسة. وبدون ذلك، تفشل السياسة المفروضة في صمت، وأول علامة على وجود مشكلة هي العميل الذي لم يصل بريده مطلقًا.
اعرف اليوم الذي تتغير فيه سياستك
إعداد MTA-STSعبارة عن سجل وعنوان ويب وشهادة وقائمة بخوادم البريد، ولكل منها مالك مختلف.
تحول عمليات الفحص المجدولة ذلك إلى اختلاف يتم إعلامك به: توقف تحميل ملف السياسة، وانتهت صلاحية الشهادة الموجودة على اسم السياسة، وانتقل الوضع من enforce إلى testing. تصل التنبيهات داخل التطبيق أو عبر البريد الإلكتروني أو عبر Slack أو Teams أو Jira أو خطاف الويب.
الخطوة 01 · قم بتسمية المجال
النطاق الذي تتحكم فيه، تتم إضافته إلى حساب AYAsec الخاص بك. يتم التحقق من الملكية قبل إرسال أي شيء - لن تقوم AYAsec بجدولة عمليات فحص للبنية التحتية التي لم تثبت سيطرتك عليها، ويتطلب إثبات ذلك سجل DNS واحدًا. يتخطى الفحص السريع أعلاه هذا: لا يوجد حساب، ولا تحقق، فقط تحديد معدل IP وقاعدة مفادها أن الهدف يجب أن يكون عنوانًا عامًا.
الخطوة 02 · دعتشغيل الفحص
السجل وملف السياسة عامان، لذا فإن هذا يقرأ بدلاً من التحقيق. فهو يجلبهم بالطريقة التي يفعلها خادم البريد المرسل.
الخطوة 03 · اقرأ النتيجة
تصل النتائج مرتبة حسب درجة الخطورة ويتم تسجيلها من A+ إلى F. ولا توجد سياسة مفقودة وسياسة في وضع الاختبار في نفس القائمة غير المتمايزة.
ما هذا جزء منه
MTA-STS هو أحد السجلات العديدة المتعلقة بالبريد التي تقوم AYAsec بفحصها كجزء من فحص DNS الخاص بها،إلى جانب SPF، وDKIM، وDMARC، وTLS-RPT، وDNSSEC. إنه مسح واحد، وهذه الصفحة تدور حول جزء واحد مما تبحث عنه.
يحمل DNS 20% من الدرجة المركبة. أما الملفات الأخرى فهي HTTP بنسبة 30%، وTLS والمنافذ بنسبة 20% لكل منهما، ومصداقية النطاق بنسبة 10%. كلهم معًا هم ما سطح الهجومالإدارة تعني عمليًا.
أسئلة قبل التحقق
ما الذي يمكنني التحقق منه؟
البنية التحتية التي تمتلكها أو تم التعاقد معها لاختبارها. لا يتحقق الفحص السريع أعلاه من ذلك بالنسبة لك - فهو يحدد المعدل فقط عن طريق IP ويرفض استهداف أي شيء سوى العنوان العام. أضف النطاق إلى حساب AYAsec بدلاً من ذلك، وسيتم التحقق من التحكم قبل تشغيل أي شيء مجدول: حدود قانونية بقدر ما هي حدود عملية، نظرًا لأن الفحص الذي لم يتم التحقق منه لا يفيدك كدليل أيضًا.
MTA-STS عامة. لماذا يحتاج هذاالتحقق؟
السجل والسياسة عامان والشيك للقراءة فقط، وبالتالي فإن الشيك نفسه غير ضار. يتعلق التحقق بما يحدث بعد ذلك: تتم مراقبة النطاق الموجود في حساب AYAsec الخاص بك وتصنيفه والاحتفاظ به في سجلك، ولا ينبغي أن يكون أي من ذلك ممكنًا لنطاق ليس ملكك.
هل تحمي MTA-STS البريد الذي أرسله؟
لا، إنه يحمي البريد المرسل إلى نطاقك. يعتمد ما إذا كانت الرسالة التي ترسلها محمية على السياسة أم لامن مجال الاستلام وعلى خادم البريد الخاص بك الذي يحترمه.
ما الفرق بين MTA-STS وDANE؟
كلاهما يهدف إلى نفس مشكلة الرجوع إلى إصدار أقدم. تعتمد DANE على DNSSEC وتنشر الشهادة في DNS؛ تعتمد MTA-STS على سياسة عبر HTTPS وشهادة عادية. يعد MTA-STS أسهل في النشر ويدعمه كبار مقدمي الخدمات.
كيف يمكنني الانتقال بأمان من الاختبار إلى التنفيذ؟
انشر السياسة في الوضع testingمع تشغيل TLS-RPT، اقرأ التقارير لبضعة أسابيع، وأصلح ما تظهره - عادةً ما تكون شهادة أو اسم MX غير متطابق - وعندها فقط قم بتغيير الوضع ورفع max_age.
هل تحتفظ بالنتائج؟
ليس الفحص السريع أعلاه - فهو يبقى في الذاكرة لمدة خمس عشرة دقيقة تقريبًا حتى تتمكن من قراءته مرة واحدة، ثم يختفي. يعد هذا اختيارًا متعمدًا للخصوصية، وليس قيدًا: لا أحد غيرك يرى هذا الفحص، ويمكنك تنزيل النتيجة الكاملة قبل انتهاء صلاحيتها. أضف النطاق إلى حساب AYAsec بدلاً من ذلك، وسيتم الاحتفاظ بكل عملية مسح - سلسلة تخبرك بالتعديل الذي أدى إلى كسره. يعتمد الاحتفاظ على خطتك.
احتفظ بالتاريخ، وليس فقطنتيجة
قم بإجراء فحص DNS الكامل لنطاقاتك الخاصة، وفقًا لجدول زمني، مع وضع علامة على كل تغيير لمن يحتاج إلى رؤيته.
البيانات المنظمة المراد تضمينها
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec MTA-STS Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/mta-sts-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}لا تضف ترميز FAQPage أو HowTo - فقد سحبت Google كلا النوعين من النتائج.