MTA-STS (RFC 8461), bir alan adının "bana gelen postayı yalnızca geçerli sertifikalı TLS ile teslim edin" demesini sağlayan standarttır. STARTTLS'in downgrade saldırısına açık olan fırsatçı yapısına karşı koruma ekler.
Bileşenler
- DNS TXT kaydı: Politikanın varlığını ve sürüm kimliğini bildirir.
- HTTPS üzerinden politika dosyası:
mta-sts.alt alan adında geçerli bir sertifikayla sunulur. - TLS-RPT (isteğe bağlı): Teslim sorunları için raporlama kaydı.
Kurulum adımları
Önce mta-sts.ornek.com için bir sunucu ve geçerli bir SSL sertifikası hazırlayın. Politika dosyası şu adreste yayınlanmalıdır:
https://mta-sts.ornek.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.ornek.com
max_age: 86400Ardından DNS kayıtları eklenir:
_mta-sts.ornek.com. TXT "v=STSv1; id=20261001000000"
_smtp._tls.ornek.com. TXT "v=TLSRPTv1; rua=mailto:tlsrpt@ornek.com"Politikayı her değiştirdiğinizde id değerini de güncelleyin; göndericiler önbelleği bu değere göre yeniler.
Modlar
none: Politika etkisizdir.testing: Başarısız TLS durumları raporlanır, posta yine de teslim edilir.enforce: Geçerli sertifikalı TLS kurulamazsa posta teslim edilmez.
Önce testing ile başlayıp raporlarda sorun görmediğinizde enforce'a geçin.
Dikkat edilecekler
- Politikadaki
mxsatırları gerçek MX kayıtlarınızla ve MX sunucu sertifikasındaki adla eşleşmeli. - MX sunucusunun sertifikası süresi dolmuş veya zinciri eksik olursa enforce modda posta kaybı yaşanabilir; bitiş tarihlerini izleyin.
mta-stssitesinin sertifikası da geçerli kalmalıdır.- Gönderen tarafın MTA-STS desteği gerekir; her sağlayıcı uygulamayabilir.
MX sunucunuzun sertifikasını SSL Checker ile doğrulayın. Özetle MTA-STS, e-posta iletiminde TLS'i zorunlu ve doğrulanabilir hale getirir.