Verificador MTA-STS
O correio entre servidores é criptografado quando ambos os lados concordam com isso, e um invasor intermediário pode fazer com que eles discordem. MTA-STS é como um domínio diz que seu e-mail deve chegar criptografado ou não chegar. Verifique um domínio que você controla e veja se a política foi publicada e se é aplicada.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
O que é MTA-STS, em um parágrafo
Quando um servidor de e-mail entrega para outro, ele inicia em texto simples e pede para mudar para TLS. Um invasor que esteja no caminho pode remover essa solicitação e os dois servidores continuam sem criptografiasem que ninguém perceba. O MTA-STS preenche essa lacuna. Seu domínio publica um registro TXT curto e um arquivo de política em um endereço web próprio; um servidor de envio que a suporte busca a política, lembra-se dela e, em seguida, entrega apenas aos servidores de e-mail mencionados nela e somente por meio de uma conexão TLS com um certificado válido.
Cinco razões para verificar seu próprio MTA-STS
01
A criptografia que um invasor pode desativar não é criptografia
OportunistaO TLS protege contra alguém que lê mensagens passivamente. Não protege contra quem está disposto a interferir, pois o rebaixamento é silencioso. MTA-STS é o controle que transforma “geralmente criptografado” em “recusado a menos que criptografado”.
02
O registro sozinho não faz nada
O registro TXT apenas informa aos remetentes que existe uma política. A política em si reside em https://mta-sts.yourdomain/.well-known/mta-sts.txt e deve estar acessível, com um certificado válido com esse nome. Um registro sem um arquivo de política funcional é a maneira mais comum de pensar que você está protegido quando não está.
03
O modo de teste é um ponto de partida, não um destino
Uma política tem um modo: none, testing ou enforce. Em modo de teste, remetentesainda entrega quando a verificação falha e apenas reporta. Essa é a maneira certa de começar, e muitos domínios permanecem lá por anos. Apenas enforce interrompe uma entrega com downgrade.
04
Uma política que lista os servidores de e-mail errados recusa seu próprio e-mail
A política nomeia os hosts MX com permissão para receber mensagens para o domínio. Mude para um novo provedor de e-mail sem atualizá-lo e os remetentes que aplicam a política não entregarão nada aos novos servidores. Essetambém existe o risco de um longo max_age: uma política errada permanece armazenada em cache pelos remetentes pelo tempo que você prometeu.
05
TLS-RPT é como você descobre
O relatório TLS é um segundo registro TXT que informa aos remetentes para onde enviar relatórios diários sobre falhas de entrega e problemas de política. Sem isso, uma política aplicada falha silenciosamente, e o primeiro sinal de problema é um cliente cuja correspondência nunca chegou.
Saiba o dia em que sua política muda
Uma configuração MTA-STSé um registro, um endereço web, um certificado e uma lista de servidores de e-mail, e cada um deles possui um proprietário diferente.
As verificações agendadas transformam isso em uma diferença sobre a qual você foi informado: o arquivo de política parou de carregar, o certificado no nome da política expirou, o modo passou de enforce de volta para testing. Os alertas chegam no aplicativo, por e-mail ou pelo Slack, Teams, Jira ou webhook.
Etapa 01 · Nomeie o domínio
Um domínio que você controla, adicionado à sua conta AYAsec. A propriedade é verificada antes de qualquer coisa ser despachada - AYAsec não agendará verificações em infraestruturas sobre as quais você não demonstrou controle e provando que é necessário um registro DNS. A verificação rápida acima ignora isso: sem conta, sem verificação, apenas limitação de taxa de IP e uma regra de que o alvo deve ser um endereço público.
Etapa 02 · Deixea verificação
O registro e o arquivo de políticas são públicos, portanto, são lidos em vez de sondados. Ele os busca da mesma forma que um servidor de envio de e-mail faria.
Etapa 03 · Leia o resultado
As descobertas chegam ordenadas por gravidade e pontuadas de A+ a F. Uma política ausente e uma política em modo de teste não estão na mesma lista indiferenciada.
Do que isso faz parte
MTA-STS é um dos vários registros relacionados a correio que a AYAsec verifica como parte de sua varredura de DNS,junto com SPF, DKIM, DMARC, TLS-RPT e DNSSEC. É uma digitalização e esta página é sobre uma parte do que é visualizado.
O DNS carrega 20% da nota composta. Os outros são HTTP com 30%, TLS e portas com 20% cada e credibilidade do domínio com 10%. Todos eles juntos são o que superfície de ataquegerenciamento significa na prática.
Perguntas antes de verificar
O que posso verificar?
Infraestrutura que você possui ou foi contratada para testar. A verificação rápida acima não verifica isso para você - ela apenas limita a taxa por IP e se recusa a direcionar qualquer coisa que não seja um endereço público. Em vez disso, adicione o domínio a uma conta AYAsec e o controle será verificado antes que qualquer coisa programada seja executada: um limite legal e prático, já que uma verificação não verificada também não tem utilidade para você como prova.
MTA-STS é público. Por que isso precisaverificação?
O registro e a política são públicos e o cheque é somente leitura, portanto o cheque em si é inofensivo. A verificação trata do que acontece a seguir: um domínio em sua conta AYAsec é monitorado, avaliado e mantido em seu histórico, e nada disso deveria ser possível para um domínio que não é seu.
O MTA-STS protege os e-mails que eu envio?
Não. Ele protege os e-mails enviados para o seu domínio. Se uma mensagem que você envia está protegida depende da políticado domínio de recebimento e em seu próprio servidor de e-mail que o respeita.
Qual é a diferença entre MTA-STS e DANE?
Ambos visam o mesmo problema de downgrade. DANE depende do DNSSEC e publica o certificado no DNS; O MTA-STS depende de uma política sobre HTTPS e de um certificado comum. O MTA-STS é mais simples de implantar e é suportado por grandes provedores.
Como posso passar com segurança do teste para a aplicação?
Publique a política no modo testingcom o TLS-RPT ativado, leia os relatórios por algumas semanas, corrija o que eles mostram - geralmente um certificado ou um nome MX que não corresponde - e só então mude o modo e aumente max_age.
Você mantém os resultados?
Não a verificação rápida acima - ela permanece na memória por cerca de quinze minutos, então você pode lê-la uma vez e depois desaparece. Essa é uma escolha deliberada de privacidade, não uma limitação: ninguém além de você vê essa verificação e você pode baixar o resultado completo antes que expire. Adicione o domínio a uma conta AYAsec e cada verificação será mantida - uma série que informa qual edição o quebrou. A retenção depende do seu plano.
Mantenha o histórico, não apenas oresultado
Execute a verificação completa de DNS em seus próprios domínios, de acordo com uma programação, com cada alteração sinalizada para quem precisar vê-la.
Dados estruturados para incorporar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec MTA-STS Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/mta-sts-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Não adicione a marcação FAQPage ou HowTo. O Google retirou ambos os tipos de resultados.