Перевірка MTA-STS

Пошта між серверами шифрується, якщо обидві сторони погоджуються на це, і зловмисник посередині може змусити їх не погодитися. MTA-STS – це те, як домен повідомляє, що його пошта має надходити в зашифрованому вигляді або взагалі не надходити. Перевірте домен, яким ви керуєте, і подивіться, чи опубліковано політику та чи вона виконується.

Що таке MTA-STS, одним абзацом

Коли один поштовий сервер доставляє на інший, він починає звичайний текст і просить перейти на TLS. Зловмисник, який сидить на шляху, може видалити цей запит, і два сервери продовжуватимуть роботу без шифруванняніхто не помітив. MTA-STS усуває цю прогалину. Ваш домен публікує короткий запис TXT і файл політики на власній веб-адресі; сервер-відправник, який її підтримує, отримує політику, запам’ятовує її, а потім доставляє лише на вказані в ній поштові сервери та лише через з’єднання TLS із дійсним сертифікатом.

П'ять причин перевірити власний MTA-STS

Шифрування, яке може вимкнути зловмисник, не є шифруванням

ОпортуністичнийTLS захищає від пасивного читання пошти. Це не захищає від того, хто бажає втрутитися, тому що зниження версії мовчазне. MTA-STS - це елемент керування, який перетворює «зазвичай зашифрований» на «відмовлено, якщо не зашифрований».

Сам по собі запис нічого не робить

Запис TXT лише повідомляє відправникам, що політика існує. Сама політика знаходиться за адресою https://mta-sts.yourdomain/.well-known/mta-sts.txt, і вона має бути доступною з дійсним сертифікатом на це ім’я. Запис без файлу робочої політики є найпоширенішим способом вважати, що ви захищені, хоча це не так.

Режим тестування є відправною точкою, а не пунктом призначення

Політика має режим: none, testing або enforce. У режимі тестування відправниківдоставляйте, коли перевірка не вдається, і лише повідомляйте про це. Це правильний спосіб почати, і багато доменів залишаються там роками. Лише enforce зупиняє доставку зі зниженою версією.

Політика, яка містить неправильні поштові сервери, відхиляє вашу власну пошту

Політика називає хости MX, яким дозволено отримувати пошту для домену. Перейдіть до нового постачальника послуг електронної пошти, не оновлюючи його, і відправники, які застосовують цю політику, взагалі не доставлятимуть повідомлення на нові сервери. Цетакож є ризик тривалого max_age: неправильна політика зберігається відправниками стільки часу, скільки ви обіцяли.

TLS-RPT, як ви дізнаєтесь

Звітування TLS – це другий запис TXT, який повідомляє відправникам, куди надсилати щоденні звіти про збої в доставці та проблеми з політикою. Без цього примусова політика мовчки провалюється, і першою ознакою проблеми є клієнт, чия пошта так і не надійшла.

Дізнайтесь, коли ваша політика зміниться

Налаштування MTA-STSце запис, веб-адреса, сертифікат і список поштових серверів, і кожен з них має іншого власника.

Заплановані сканування перетворюють це на різницю, про яку вам повідомляють: файл політики припинив завантажуватися, термін дії сертифіката на назву політики закінчився, режим змінився з enforce назад на testing. Сповіщення надходять у додаток, електронною поштою або через Slack, Teams, Jira чи веб-хук.

Крок 01 · Назвіть домен

Домен, яким ви керуєте, доданий до вашого облікового запису AYAsec. Право власності перевіряється перед надсиланням – AYAsec не плануватиме сканування інфраструктури, над якою ви не продемонстрували контроль, і [для підтвердження цього потрібен один запис DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). Швидка перевірка вище пропускає це: немає облікового запису, немає перевірки, лише обмеження швидкості IP-адреси та правило, згідно з яким цільовою адресою має бути публічна адреса.

Крок 02 · Нехайперевірка

Запис і файл політики є відкритими, тому це читання, а не зондування. Він отримує їх так, як це зробив би сервер відправки.

Крок 03 · Прочитайте результат

Результати надходять упорядкованими за ступенем серйозності та оцінюються від A+ до F. Відсутня політика та політика в режимі тестування не знаходяться в одному недиференційованому списку.

Що це є частиною

MTA-STS - це один із кількох записів, пов’язаних із поштою, які AYAsec перевіряє в рамках сканування DNS,разом із SPF, DKIM, DMARC, TLS-RPT і DNSSEC. Це одне сканування, і ця сторінка є приблизно частиною того, що вона переглядає.

DNS займає 20% загальної оцінки. Інші: HTTP на 30%, TLS і порти на 20% кожен, а довіра до домену на 10%. Усі вони разом є тим, що поверхня атакикерування означає на практиці.

Запитання перед перевіркою

Що я можу перевірити?

Інфраструктура, якою ви володієте або ви замовили тестування. Швидка перевірка вище не підтверджує це для вас - вона лише обмежує швидкість IP-адресою та відмовляється націлюватися на будь-що, окрім публічної адреси. Натомість додайте домен до облікового запису AYAsec, і контроль буде перевірено до того, як буде запущено будь-який запланований запуск: це юридичне обмеження, як і практичне, оскільки неперевірене сканування також не є для вас доказом.

MTA-STS є загальнодоступним. Навіщо це потрібноперевірка?

Запис і політика є загальнодоступними, а перевірка доступна лише для читання, тому сама перевірка нешкідлива. Перевірка стосується того, що відбувається далі: домен у вашому обліковому записі AYAsec відстежується, оцінюється та зберігається у вашій історії, і нічого з цього не повинно бути можливим для домену, який не є вашим.

Чи захищає MTA-STS пошту, яку я надсилаю?

Ні. Він захищає пошту, надіслану на ваш домен. Чи захищено надіслане вами повідомлення, залежить від політикидомену-одержувача та на вашому власному поштовому сервері.

Яка різниця між MTA-STS і DANE?

Обидва мають на меті ту саму проблему зниження версії. DANE залежить від DNSSEC і публікує сертифікат у DNS; MTA-STS покладається на політику через HTTPS і звичайний сертифікат. MTA-STS простіше в розгортанні та підтримується великими постачальниками.

Як безпечно перейти від тестування до примусового виконання?

Опублікувати політику в режимі testingз увімкненим TLS-RPT, читайте звіти протягом кількох тижнів, виправляйте те, що вони показують - зазвичай сертифікат або ім'я MX, яке не збігається - і лише потім змініть режим і підніміть max_age.

Ви зберігаєте результати?

Не швидка перевірка вище - він живе в пам'яті приблизно п'ятнадцять хвилин, тому ви можете прочитати його один раз, а потім він зникає. Це свідомий вибір конфіденційності, а не обмеження: ніхто, крім вас, ніколи не бачить це сканування, і ви можете завантажити повний результат до закінчення терміну його дії. Натомість додайте домен до облікового запису AYAsec, і кожне сканування збережеться – серія, яка повідомляє вам, яка зміна порушила його. Утримання залежить від вашого плану.

Зберігайте історію, а не тількирезультат

Запустіть повну перевірку DNS для ваших власних доменів за розкладом, позначаючи кожну зміну тим, хто її бажає побачити.

Почніть безкоштовне сканування Порівняти плани

Інші шашки

– TLS-сканер – чи справний сертифікат на ім’я політики та на поштовому сервері?

View all free security scanners

DMARC Checker

що відбувається з поштою, яка не проходить перевірку?

DNSзасіб перевірки безпеки – DNSSEC, сервери імен і самі записи

Структуровані дані для вбудовування

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec MTA-STS Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/mta-sts-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Не додавайте розмітку FAQPage або HowTo – Google вилучив обидва типи результатів.