Держит политику на своей площадке
Файл политики отдаёт наша площадка sts.mscs.ru. Сертификат для
mta-sts.<домен> она выпускает и продлевает сама — отдельный веб-сервер
и ручная ротация сертификата вам не нужны.
Managed MTA-STS · управляемая услуга
Почта на ваш домен пойдёт только по защищённому каналу
MTA-STS говорит серверам отправителей: доставлять почту на ваш домен можно только по шифрованному соединению, только на перечисленные MX и только если сертификат сервера проверяется. Без этой политики шифрование между почтовыми серверами можно «сбить» по дороге. Managed MTA-STS — это политика на нашей площадке, отчёты TLS-RPT и перевод в строгий режим тогда, когда отчёты это разрешают, а не когда подошла дата.
- testing → enforce по отчётам, а не по календарю
- TLS-RPT входит в услугу
- Сертификат для mta-sts.<домен> — наша забота
Категория
Четыре вещи, которые
делает Managed MTA-STS
Опубликовать политику MTA-STS — полчаса работы. Потерять из-за неё почту — тоже: достаточно перевести политику в строгий режим и забыть о ней при следующей смене MX. Услуга состоит из того, что происходит после публикации.
Начинает с режима testing
Отправители видят политику и присылают отчёты TLS-RPT о каждом сбое защищённого соединения, но почту доставляют как раньше. Так находятся проблемы с сертификатами и забытые MX — до того, как они стоили бы писем.
Переводит в enforce по отчётам
Переводит инженер, а не автоматика: с последней правки политики прошло не меньше
семи дней, хотя бы за пять из них пришли отчёты с нашей политикой, и в них нет сбоев,
из-за которых почта бы не дошла. Нет отчётов — нет перехода. Дальше срок жизни политики
в кэше отправителей (max_age) растёт ступенями: день → неделя → месяц.
Следит, чтобы политика не разошлась с MX
В зоне нашего DNS смена MX, которую не покрывает политика в режиме enforce,
не выполняется, пока политика не расширена и не истёк её прежний max_age;
оператор видит правильный порядок. В чужой зоне раз в час сверяем снаружи
опубликованную политику, её id и MX — расхождение приходит инженеру.
Внутри
Что входит
в подписку
Единица тарификации — домен. Услуга подключается отдельно от остальных; чаще всего её берут вместе с Managed DMARC, особенно когда почта живёт в облаке и опубликовать TLSA на MX-хосты провайдера нельзя.
Размещение политики и сертификат
Файл политики на sts.mscs.ru, автоматический выпуск и продление сертификата
для mta-sts.<домен>, смена id при каждой правке.
Приём и разбор TLS-RPT
Отчёты о сбоях защищённой доставки принимаем и разбираем мы: по ним решается, готов ли домен к enforce.
Перевод режимов и ступени max_age
testing → enforce и день → неделя → месяц — каждым шагом управляет инженер по критериям, записанным заранее.
Контроль расхождений с MX
В нашей зоне — защита от смены MX в обход политики, в чужой — ежечасная внешняя
сверка политики, её id и MX с уведомлением инженера.
Статус от инженера
Отдельного раздела MTA-STS в кабинете my.mscs.ru пока нет: режим политики,
выводы по отчётам и следующий шаг сообщает инженер.
Подключение
Два случая:
зона у нас или у другого провайдера
Если зона в нашем Managed DNS,
все записи публикуем мы сами — от вас ничего не требуется. Если DNS у другого провайдера,
один раз добавьте в зону три записи. Пример — для домена client.ru; метка в
целевом имени — это домен, в котором точки заменены на _.
Политика MTA-STS: запись с идентификатором и хост политики
_mta-sts.client.ru. CNAME client_ru._mta-sts.sts.mscs.ru.
mta-sts.client.ru. CNAME sts.mscs.ru.Идентификатор политики меняем мы на своей стороне — правка политики
не требует правки вашей зоны. Запись _acme-challenge не нужна: сертификат для
mta-sts.client.ru площадка выпускает сама.
Отчёты TLS-RPT: куда отправители присылают сведения о сбоях
_smtp._tls.client.ru. TXT "v=TLSRPTv1; rua=mailto:…"Адрес для отчётов сообщает инженер при подключении.
Если вместе с MTA-STS подключается Managed BIMI,
к этим записям добавляется ещё одна CNAME — для default._bimi.
Границы
Чего Managed MTA-STS
не делает
MTA-STS защищает доставку почты на ваш домен от перехвата и подмены сервера. Это одна конкретная задача.
Не заменяет DANE
MTA-STS доверяет обычному сертификату и кэшу политики, DANE — подписанному ответу DNS. Где зону можно подписать, DANE на почтовых узлах сильнее; правильная конфигурация — обе.
Не включает enforce сам
Автоматического перехода в строгий режим нет. Решение принимает инженер по отчётам TLS-RPT; если отчётов нет, политика остаётся в testing.
Не действует на всех отправителей
Политику применяют серверы, которые поддерживают MTA-STS. Остальные доставляют почту так же, как без неё.
Не защищает вашу исходящую почту
Политика говорит о доставке на ваш домен. Как защищена доставка ваших писем другим, решают политики получателей и ваш почтовый сервер или шлюз.
Вопросы
Что спрашивают
про Managed MTA-STS
Чем MTA-STS отличается от DANE и нужны ли оба?
Оба требуют от сервера отправителя шифровать доставку и проверять, с кем он говорит. DANE публикует отпечаток сертификата в DNS и опирается на подписанную зону (DNSSEC) — это доказуемо. MTA-STS выкладывает политику файлом по HTTPS и доверяет обычному сертификату, DNSSEC ему не нужен. Одни отправители проверяют DANE, другие — MTA-STS, поэтому правильная конфигурация — обе. Если почта в облаке, TLSA на MX-хосты провайдера вы опубликовать не можете, и MTA-STS с TLS-RPT остаются в ваших руках.
Почему не включить enforce сразу?
В режиме enforce отправитель, который не смог установить защищённое соединение или увидел MX вне политики, письмо не доставит. Поэтому старт — в testing: почта идёт как раньше, а о сбоях сообщают отчёты TLS-RPT. В enforce политику переводит инженер, а не автоматика, и только когда с последней правки политики прошло не меньше семи дней, хотя бы за пять из них пришли отчёты с нашей политикой и в отчётах нет сбоев, из-за которых почта бы не дошла. Нет отчётов — нет перехода. После этого срок жизни политики в кэше отправителей (max_age) растёт ступенями: день, неделя, месяц.
Что будет, если мы поменяем MX?
Если зона в нашем DNS, смену MX, которую не покрывает политика в режиме enforce, система не выполнит, пока политика не расширена и не истёк её прежний max_age, — оператор видит, в каком порядке действовать. Если зона у другого провайдера, раз в час мы снаружи сверяем опубликованную политику, её идентификатор и MX, и расхождение приходит инженеру. Порядок один: сначала расширить политику, дождаться max_age, потом менять MX.
Что нужно сделать на нашей стороне?
Если зона в нашем Managed DNS — ничего: записи публикуем мы. Если DNS у другого провайдера — один раз добавить две записи CNAME, для _mta-sts и для mta-sts, и TXT _smtp._tls для отчётов TLS-RPT. Запись _acme-challenge не нужна: сертификат для mta-sts.<домен> площадка выпускает и продлевает сама.
Можно ли взять MTA-STS отдельно и за что идёт оплата?
Да, услуга подключается отдельно, единица тарификации — домен. Для частых сочетаний есть готовые наборы — например, DMARC + MTA-STS для почты в облаке. Цены на сайте не публикуются: они фиксируются в коммерческом предложении под ваш скоуп.
Дальше
Начнём с того, что
видно по вашему домену сейчас
Экспресс-аудит загружает вашу политику MTA-STS, если она есть,
и показывает режим, покрытие MX, max_age, сертификат хоста политики и наличие
TLS-RPT. Бесплатно, отчёт за один рабочий день, доступы не нужны.