Pāriet uz saturu

Jūsu MTA-STS politika šifrētam pastam nedarbojas

Brīdinājums Viss domēns E-pasta piegāde

Vispārīgas instrukcijas katram cēlonim. Atveriet šo rakstu no sava PageCheck pārskata, lai redzētu tikai Jūsu domēna cēloni, aizpildītu ar tā ierakstiem.

Kas tas ir

MTA-STS ir divas daļas: TXT ieraksts _mta-sts.example.com, kas paziņo politiku, un politikas fails adresē https://mta-sts.example.com/.well-known/mta-sts.txt, kurā uzskaitīti Jūsu pasta serveri. Sūtītāju serveri pirms piegādes nolasa abus un glabā failu tik ilgi, cik norāda tā max_age.

Kas ir nepareizi

Domēns paziņo MTA-STS politiku, bet sūtītāji to nevar izmantot. Atkarībā no cēloņa tie piegādā bez tās aizsardzības vai – ja enforce režīma politika izlaiž pasta serveri – atsakās tam piegādāt. Lūk, cēloņi no ieraksta līdz failam:

  • Ir vairāk nekā viens _mta-sts TXT ieraksts. Sūtītāji ignorē politiku, ja ieraksts nav viens. Dzēsiet liekos ierakstus un atstājiet tieši vienu, “v=STSv1; id=…”.
  • _mta-sts TXT ierakstam nav derīga id. Ierakstam jābūt “v=STSv1; id=…” ar id tikai no burtiem un cipariem, ne garāku par 32 rakstzīmēm.
  • Politikas fails neatbild. Pārbaudiet, vai apakšdomēnam mta-sts ir DNS ieraksts, kas norāda uz serveri vai Worker ar failu, un vai serveris atbild caur HTTPS.
  • Politikas faila sertifikāts nav derīgs. Sūtītāji pieņem failu tikai caur HTTPS ar derīgu sertifikātu apakšdomēnam mta-sts: izsniedziet to (Let's Encrypt hostinga panelī; Cloudflare Worker ar pielāgotu domēnu to saņem pats).
  • Politikas adrese atbild ar ko citu, nevis failu. Tai jāatbild ar statusu 200 un pašu failu: bez pāradresācijas (arī ne uz www vai galveno vietni), bez kļūdas lapas.
  • Fails nav derīga politika. Tajā vajadzīgas rindiņas “version: STSv1”, “mode:” testing, enforce vai none, vismaz viena “mx:” rindiņa (izņemot režīmu none) un “max_age:” sekundēs, ne vairāk par 31557600.
  • Politika izlaiž dažus domēna pasta serverus. Katram pasta serverim (MX) jāatbilst kādai mx rindiņai – precīzi vai ar vienu aizstājējzīmes daļu (*.example.com). Sūtītāji, kas politiku ievieš, atsakās piegādāt izlaistam serverim.

Kā labot

1. Atrodiet cēloni augstāk esošajā sarakstā un novērsiet to. Atveriet https://mta-sts.example.com/.well-known/mta-sts.txt pārlūkā: failam jāparādās kā vienkāršam tekstam, bez pāradresācijas un bez brīdinājuma par sertifikātu. Pareizs fails un ieraksti ir iestatīšanas rakstā.

2. Mainiet id pēc katras faila izmaiņas. Sūtītāji failu ielādē no jauna tikai tad, kad mainās id _mta-sts ierakstā. Der jebkura jauna vērtība no burtiem un cipariem.

3. Pārbaudiet. Atveriet https://mta-sts.example.com/.well-known/mta-sts.txt: tai jāparāda fails kā vienkāršs teksts. Tad palaidiet šo pārbaudi vēlreiz: tā nolasa failu un salīdzina tā mx rindiņas ar Jūsu pasta serveriem. 

Fix the MTA-STS (RFC 8461) set-up of the mail domain example.com: senders cannot use its policy; find out why.
Policy file: https://mta-sts.example.com/.well-known/mta-sts.txt. MX hosts: mail.example.com.

Steps:
1. Make https://mta-sts.example.com/.well-known/mta-sts.txt answer 200 over HTTPS with a valid certificate for mta-sts.example.com, no redirect, with a valid STSv1 policy listing every MX host.
2. If the file changes, change the id in the _mta-sts TXT record (for example to 2).
3. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt and dig TXT _mta-sts.example.com +short.
Every MX host must match an mx line exactly or by one wildcard label (*.example.com).

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461

Pārbaudiet savu vietni, lai uzzinātu, vai tai ir šī problēma. Pārbaudīt vietni