Przejdź do treści

Polityka MTA-STS dla szyfrowanej poczty nie działa

Ostrzeżenie Cała domena Dostarczanie e-maili

Ogólne instrukcje dla każdej przyczyny. Otwórz ten artykuł z raportu PageCheck, aby zobaczyć tylko przyczynę Twojej domeny, wypełnioną jej rekordami.

Co to jest

MTA-STS ma dwie części: rekord TXT _mta-sts.example.com, który ogłasza politykę, oraz plik polityki pod adresem https://mta-sts.example.com/.well-known/mta-sts.txt, który wymienia Twoje serwery pocztowe. Serwery wysyłające czytają oba przed doręczeniem i przechowują plik tak długo, jak wskazuje jego max_age.

Co jest nie tak

Domena ogłasza politykę MTA-STS, ale nadawcy nie mogą jej użyć. W zależności od przyczyny doręczają bez jej ochrony albo – gdy polityka w trybie enforce pomija serwer pocztowy – odmawiają doręczenia do niego. Oto przyczyny, od rekordu do pliku:

  • Istnieje więcej niż jeden rekord TXT _mta-sts. Nadawcy ignorują politykę, gdy rekord nie jest jedyny. Usuń nadmiarowe rekordy i zostaw dokładnie jeden, „v=STSv1; id=…”.
  • Rekord TXT _mta-sts nie ma prawidłowego id. Rekord musi mieć postać „v=STSv1; id=…” z id złożonym tylko z liter i cyfr, maksymalnie 32 znaki.
  • Plik polityki nie odpowiada. Sprawdź, czy subdomena mta-sts ma rekord DNS wskazujący na serwer lub Worker z plikiem i czy serwer odpowiada przez HTTPS.
  • Certyfikat pliku polityki jest nieważny. Nadawcy przyjmują plik tylko przez HTTPS z ważnym certyfikatem dla subdomeny mta-sts: wystaw go (Let's Encrypt w panelu hostingu; Cloudflare Worker na własnej domenie dostaje go sam).
  • Adres polityki odpowiada czymś innym niż plik. Musi odpowiadać statusem 200 i samym plikiem: bez przekierowania (nawet na www lub na główną stronę), bez strony błędu.
  • Plik nie jest prawidłową polityką. Potrzebuje wierszy „version: STSv1”, „mode:” testing, enforce lub none, co najmniej jednego wiersza „mx:” (poza trybem none) oraz „max_age:” w sekundach, maksymalnie 31557600.
  • Polityka pomija niektóre serwery pocztowe domeny. Każdy serwer pocztowy (MX) musi pasować do wiersza mx, dokładnie lub z jedną etykietą wieloznaczną (*.example.com). Nadawcy wymuszający politykę odmawiają doręczenia do pominiętego serwera.

Jak naprawić

1. Znajdź przyczynę na liście powyżej i ją usuń. Otwórz https://mta-sts.example.com/.well-known/mta-sts.txt w przeglądarce: plik musi pokazać się jako zwykły tekst, bez przekierowania i bez ostrzeżenia o certyfikacie. Prawidłowy plik i rekordy opisuje artykuł o konfiguracji.

2. Zmieniaj id po każdej zmianie pliku. Nadawcy pobierają plik ponownie tylko wtedy, gdy zmieni się id w rekordzie _mta-sts. Wystarczy dowolna nowa wartość z liter i cyfr.

3. Sprawdź. Otwórz https://mta-sts.example.com/.well-known/mta-sts.txt: powinien pokazać plik jako zwykły tekst. Potem uruchom ten test ponownie: czyta plik i porównuje jego wiersze mx z Twoimi serwerami pocztowymi. 

Fix the MTA-STS (RFC 8461) set-up of the mail domain example.com: senders cannot use its policy; find out why.
Policy file: https://mta-sts.example.com/.well-known/mta-sts.txt. MX hosts: mail.example.com.

Steps:
1. Make https://mta-sts.example.com/.well-known/mta-sts.txt answer 200 over HTTPS with a valid certificate for mta-sts.example.com, no redirect, with a valid STSv1 policy listing every MX host.
2. If the file changes, change the id in the _mta-sts TXT record (for example to 2).
3. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt and dig TXT _mta-sts.example.com +short.
Every MX host must match an mx line exactly or by one wildcard label (*.example.com).

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461

Sprawdź swoją stronę, aby zobaczyć, czy ma ten problem. Sprawdź stronę