2. Skapa en MTA-STS-policy

Konfigurera MTA-STS för dina domäner genom att skapa och publicera en policy för varje domän. Policyn definierar e-postservrarna på domänen som använder MTA-STS.

Varje domän måste ha en separat policyfil. Policyerna kan vara desamma, men de måste finnas separat för varje domän som använder MTA-STS.

Serverkrav för MTA-STS

Verifiera följande för dina e-postservrar som får inkommande e-post:

  • De kräver att e-post skickas via en säker anslutning (TLS).
  • De använder TLS version 1.2 eller senare
  • Serverns TLS-certifikat:
    • Matcha domännamnet som används av den inkommande e-postservern (servern i MX-posterna).
    • är signerade och betrodda av en rotcertifikatutfärdare
    • har ej förfallit.

Läs mer om TLS-certifikat i Använda Google Workspace-certifikat för säker överföring (TLS).

MTA-STS-policylägen

Du kan konfigurera en MTA-STS-policy i läget testing eller enforce.

Testläge

Testläge kräver att externa e-postservrar skickar dig dagliga rapporter. Rapporterna innehåller information om problem som upptäckts vid anslutning till din domän. Rapporterna innehåller identifierade MTA-STS-policyer, trafikstatistik, misslyckade anslutningar och information om meddelanden som inte skickats.

I testläge begär din domän endast rapporter. I det här läget tillämpas inte anslutningssäkerhet som krävs av MTA-STS. Vi rekommenderar att du börjar med testläget i två veckor. Två veckors rapportdata räcker för att identifiera och åtgärda eventuella problem med domänen.

Använd informationen i de dagliga rapporterna för att åtgärda krypteringsproblem eller andra säkerhetsproblem med servern eller domänen. Ändra sedan policyn till tillämpat läge.

Tillämpa läge

När policyn är i tvingande läge begär domänen att externa servrar verifierar att SMTP-anslutningen är både krypterad och autentiserad.

Om anslutningen inte är både krypterad och autentiserad:

  • Servrar som stöder MTA-STS skickar inte e-post till din domän.
  • Servrar som inte har stöd för MTA-STS fortsätter att skicka meddelanden till domänen via SMTP-anslutningar som vanligt. Dessa SMTP-anslutningar kanske inte är krypterade.

I tvingande läge fortsätter du att ta emot dagliga rapporter från externa servrar.

Skapa en policyfil

Policyfilen är en vanlig textfil med nyckel- och värdepar. Varje par måste finnas på en egen rad i textfilen, som i exemplet nedan. Filstorleken för policytexten kan vara upp till 64 KB.

Filnamn för policyn: Filnamnet för textfilen måste vara mta-sts.txt

Uppdatera policyfiler: Uppdatera policyfilen varje gång du lägger till eller ändrar e-postservrar eller ändrar domänen.

Format för policyfil: Fältet version måste finnas på den första raden i policyn. De andra fälten kan vara i vilken ordning som helst. Här är ett exempel på en policyfil:

version: STSv1
mode: testing
mx: mail.solarmora.com
mx: *.solarmora.net
mx: backupmx.solarmora.com
max_age: 604800

Innehåll i policyfilen: Policyn måste innehålla alla dessa nyckel- och värdepar. Om du vill ha en policy som är anpassad för din domän följer du stegen i Kontrollera MTA-STS-status och få förslag på konfigurationer.

Nyckel Värde
version Protokollversion. Måste vara STSv1
mode

Policyläge:

  • testning: Externa servrar skickar rapporter om kryptering och andra problem som upptäcks när de ansluter till din domän. MTA-STS-kryptering och autentiseringskrav tillämpas inte.

  • enforce: Om SMTP-anslutningen inte har både autentisering och kryptering skickar inte e-postservrar som har konfigurerats för MTA-STS meddelanden till domänen. Du får även rapporter från externa servrar om anslutningsproblem som i testläge.

  • none: Anger för externa servrar att domänen inte längre har stöd för MTA-STS. Använd det här värdet om du slutar använda MTA-STS. Läs mer om att ta bort MTA-STS (RFC 8461).
mx

MX-post för domänen.

  • Policyn måste ha en mx-post för varje MX-post som läggs till i domänen.
  • Varje mx-post måste finnas på egen rad i policyfilen, enligt exemplet.
  • E-postserverns namn måste vara i standardformatet SAN (Subject Alternative Name).
  • Värdet mx måste ha något av de format som visas i dessa exempel:

    Ange en enskild server i standardformatet MX: alt1.aspmx.solarmora.com

    Om du vill ange servrar som matchar ett namngivningsmönster använder du ett jokertecken. Jokertecknet ersätter endast en etikett längst till vänster, till exempel *.solarmora.com

Läs mer om MX-poster och MX-postvärden.
max_age

Maximal tid i sekunder som policyn är giltig. max_age återställs för en extern server varje gång servern kontrollerar policyn. Externa servrar kan därför ha olika sista giltighetsdatum för samma policy.

Värdet måste vara mellan 86400 (1 dag) och 31557600 (cirka 1 år).

För testläget rekommenderar vi mellan 604 800 och 1 209 600 (en till två veckor).

Nästa steg

Publicera MTA-STS-policyn