Перейти к содержимому

Ваша политика MTA-STS для шифрованной почты не работает

Предупреждение Весь домен Доставка писем

Общие инструкции для каждой причины. Откройте эту статью из отчёта PageCheck, чтобы увидеть только причину вашего домена с его записями.

Что это такое

У MTA-STS две части: TXT-запись _mta-sts.example.com, которая объявляет политику, и файл политики по адресу https://mta-sts.example.com/.well-known/mta-sts.txt со списком ваших почтовых серверов. Отправляющие серверы читают обе перед доставкой и хранят файл столько, сколько указывает его max_age.

Что не так

Домен объявляет политику MTA-STS, но отправители не могут ею воспользоваться. В зависимости от причины они доставляют без её защиты или — если политика в режиме enforce пропускает почтовый сервер — отказываются доставлять на него. Вот причины, от записи до файла:

  • Существует больше одной TXT-записи _mta-sts. Отправители игнорируют политику, если запись не единственная. Удалите лишние записи и оставьте ровно одну, «v=STSv1; id=…».
  • У TXT-записи _mta-sts нет корректного id. Запись должна иметь вид «v=STSv1; id=…» с id только из букв и цифр, не длиннее 32 символов.
  • Файл политики не отвечает. Проверьте, что у поддомена mta-sts есть запись DNS, указывающая на сервер или Worker с файлом, и что сервер отвечает по HTTPS.
  • Сертификат файла политики недействителен. Отправители принимают файл только по HTTPS с действительным сертификатом для поддомена mta-sts: выпустите его (Let's Encrypt в панели хостинга; Cloudflare Worker на собственном домене получает его сам).
  • Адрес политики отвечает не файлом. Он должен отвечать статусом 200 и самим файлом: без перенаправления (даже на www или основной сайт), без страницы ошибки.
  • Файл не является корректной политикой. В нём нужны строки «version: STSv1», «mode:» testing, enforce или none, хотя бы одна строка «mx:» (кроме режима none) и «max_age:» в секундах, не больше 31557600.
  • Политика не включает некоторые почтовые серверы домена. Каждый почтовый сервер (MX) должен совпадать со строкой mx — точно или с одной подстановочной меткой (*.example.com). Отправители, применяющие политику, отказываются доставлять на пропущенный сервер.

Как исправить

1. Найдите причину в списке выше и устраните её. Откройте https://mta-sts.example.com/.well-known/mta-sts.txt в браузере: файл должен отображаться как обычный текст, без перенаправления и предупреждения о сертификате. Правильный файл и записи — в статье о настройке.

2. Меняйте id после каждого изменения файла. Отправители заново загружают файл, только когда меняется id в записи _mta-sts. Подойдёт любое новое значение из букв и цифр.

3. Проверьте. Откройте https://mta-sts.example.com/.well-known/mta-sts.txt: файл должен отображаться как обычный текст. Затем запустите эту проверку снова: она читает файл и сравнивает его строки mx с вашими почтовыми серверами. 

Fix the MTA-STS (RFC 8461) set-up of the mail domain example.com: senders cannot use its policy; find out why.
Policy file: https://mta-sts.example.com/.well-known/mta-sts.txt. MX hosts: mail.example.com.

Steps:
1. Make https://mta-sts.example.com/.well-known/mta-sts.txt answer 200 over HTTPS with a valid certificate for mta-sts.example.com, no redirect, with a valid STSv1 policy listing every MX host.
2. If the file changes, change the id in the _mta-sts TXT record (for example to 2).
3. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt and dig TXT _mta-sts.example.com +short.
Every MX host must match an mx line exactly or by one wildcard label (*.example.com).

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461

Проверьте свой сайт, чтобы узнать, есть ли у него эта проблема. Проверить сайт