Sprawdzenie MTA-STS i TLS-RPT
Wpisz domenę. Rekord DNS mówi tylko, że polityka istnieje; to idzie ją przeczytać, sprawdza, czy cokolwiek wymusza, i porównuje jej serwery pocztowe z tymi, które domena naprawdę publikuje.
Rekord to drogowskaz, nie polityka
_mta-sts.twojadomena mówi jedno: „polityka istnieje, idź ją przeczytać”. Każdy sprawdzacz patrzy na ten rekord, znajduje go i uznaje cię za zabezpieczonego. Polityka za nim może być odpowiedzią 404, hostem, któremu nikt nie odnowił certyfikatu, trybem, który niczego nie wymusza, albo listą serwerów, które przestały być twoje dwie przeprowadzki temu. We wszystkich czterech przypadkach rekord jest, a ochrony nie ma.
Czego to nie mówi
Czy twoja poczta idzie dziś szyfrowana. MTA-STS nie pozwala wysyłającemu serwerowi po cichu spaść do czystego tekstu, gdy ktoś majstruje przy połączeniu — mówi o ataku, nie o codzienności, gdzie oportunistyczny TLS i tak działa. I obejmuje pocztę, która do ciebie PRZYCHODZI; o tym, co wysyłasz, nie mówi nic.
Jeśli tu jesteś, zwykle to jest następny krok
Cała poczta, w jednym raporcie
To czyta dwa rekordy i jeden plik. Mail Doctor dokłada SPF, DKIM, DMARC, MX, odwrotny DNS i czarne listy, ocenia to w skali dziesięciu i układa poprawki w kolejności, która ma znaczenie.
Częste pytania
- Mój rekord DNS jest. Dlaczego pisze, że nie mam polityki?
- Bo rekord i polityka to dwie różne rzeczy w dwóch różnych miejscach, a druga jest tą, która wykonuje pracę. Zdecydowanie najczęstszą przyczyną jest certyfikat hosta mta-sts.: to osobna nazwa, nie odnawia się razem z główną, a gdy tylko wygaśnie, wszystkie wysyłające serwery przestają móc odczytać twoją politykę — podczas gdy rekord DNS stoi sobie w znakomitej formie. Dokładny powód jest w raporcie.
- Czy tryb testing wystarczy na początek?
- To właściwy sposób, żeby zacząć, i złe miejsce, żeby zostać. Testing istnieje po to, żeby nadawcy zgłaszali, co by nie wyszło, bez odbijania prawdziwej poczty — dokładnie tego chcesz przez kilka tygodni. Ale niczego nie wymusza, więc domena zapomniana w trybie testing ma pozór ochrony i nic z jej treści — a w takim stanie jest większość tych, które się w ogóle pofatygowały, w tym kilka bardzo dużych.
- Czy potrzebuję też TLS-RPT?
- To ta połowa, która mówi ci, gdy twoja polityka coś zepsuła. Bez niej błąd w polityce — zapomniany serwer na liście, wygasły certyfikat — wygląda dokładnie jak cisza: od części nadawców przestaje przychodzić poczta i nikt nie mówi ci dlaczego. Jeden rekord TXT i adres, na który przyjdą raporty.