4. הפעלה של MTA-STS ודיווח TLS

איך מגבירים את האבטחה באימייל באמצעות אימות והצפנה

כדי להפעיל MTA-STS ודיווח TLS בדומיין, צריך לעדכן את רשומות ה-TXT של DNS בדומיין. רשומות ה-DNS מאותתות לשרתים חיצוניים ש:

  • הדומיין שלכם מחייב אימות והצפנה לחיבורי SMTP.
  • אפשר לקבל דוחות TLS משרתים בדומיינים אחרים.

רשומת TXT היא רשומת DNS שמכילה מידע טקסטואלי שמשמש מקורות מחוץ לדומיין שלכם. מידע נוסף על עבודה עם רשומות TXT של DNS

יצירת תיבת דואר לקבלת דוחות

כשמפעילים MTA-STS ודיווח TLS בדומיין, שרתים חיצוניים שולחים דוחות על החיבורים לשרתים שלכם. הדוחות כוללים מדיניות MTA-STS שזוהתה, נתונים סטטיסטיים על תנועה, חיבורים שלא הצליחו והודעות שלא נשלחו.

זו דוגמה לדוח TLS.

לפני שמפעילים את הדיווח, צריך להגדיר כתובת אימייל אחת או יותר בדומיין כדי לקבל דוחות. רשומת ה-TXT ב-DNS לדיווח TLS כוללת את כתובת האימייל שיוצרים כדי לקבל דוחות.

דוגמאות לכתובות אימייל לדוחות TLS: tls-report@solarmora.com mta-sts@solarmora.com

הערה: אפשר להגדיר ששרתים יעלו דוחות TLS לשרת אינטרנט, במקום לשלוח את הדוחות באימייל. כדי להשתמש באפשרות הזו, צריך API שלא מסופק על ידי Google Workspace. מידע נוסף זמין במאמר דיווח באמצעות HTTPS‏ (RFC 8460).

עדכון רשומות ה-DNS

כדי להפעיל את MTA-STS ואת דיווח TLS, צריך לעדכן את הגדרות הדומיין בשתי רשומות TXT של DNS, שמוסיפים לתת-הדומיינים הבאים:

  • _smtp._tls
  • _mta-sts

חשוב: צריך להוסיף את הרשומות האלה להגדרות הדומיין במארח הדומיינים, ולא במסוף Google Admin.

כדי לקבל רשומות TXT של DNS שמותאמות לדומיין שלכם, פועלים לפי השלבים במאמר בנושא בדיקת הסטטוס של MTA-STS וקבלת הצעות להגדרות.

הוספה של רשומות TXT ב-DNS

חשוב: צריך להחליף את הדומיין לדוגמה (solarmora) בשלבים האלה בדומיין שלכם.

מומלץ להוסיף את רשומות ה-TXT של DNS בסדר הזה כדי להפעיל קודם את דיווח ה-TLS ואז את MTA-STS:

  1. נכנסים למסוף הניהול של ספק הדומיין.
  2. מאתרים את הדף שבו מעדכנים רשומות DNS.

  3. כדי להפעיל דיווח TLS, מוסיפים רשומת DNS בכתובת _smtp._tls:

    השם של רשומת ה-TXT: בשדה הראשון, מתחת לשם של מארח ה-DNS, מזינים: _smtp._tls.solarmora.com

    הערך של רשומת ה-TXT: בשדה השני, מזינים: v=TLSRPTv1; rua=mailto:tlsrpt@solarmora.com

    ‫rua: כתובת האימייל שיצרתם כדי לקבל דוחות. כדי לקבל דוחות בכמה כתובות אימייל, מפרידים בין כתובות האימייל באמצעות פסיקים: v=TLSRPTv1; rua=mailto:tlsrpt@solarmora.com,mailto:mts-sts@solarmora.com

    הערה: התחביר של אפשרות המסירה של דוח ה-HTTPS מתואר במאמר Report using HTTPS (RFC 8460).

  4. כדי להפעיל MTA-STS בדומיין, מוסיפים רשומת DNS ב-‎_mta-sts:

    השם של רשומת ה-TXT: בשדה הראשון, מתחת לשם של מארח ה-DNS, מזינים: _mta-sts.solarmora.com

    הערך של רשומת ה-TXT: בשדה השני, מזינים: v=STSv1; id=20190425085700

    ‫id: חייב להכיל 1-32 תווים אלפאנומריים. המזהה מאותת לשרתים חיצוניים שהדומיין שלכם תומך ב-MTA-STS.

    צריך לעדכן את הערך של id לערך חדש וייחודי בכל פעם שמשנים את מדיניות MTA-STS. שרתים חיצוניים משתמשים בערך המעודכן של id כדי לקבוע מתי המדיניות השתנתה. מומלץ להשתמש בתאריך ובשעה הנוכחיים לערך המזהה כדי לדעת מתי המדיניות השתנתה לאחרונה.

  5. שומרים את השינויים.

אימות ההפעלה של MTA-STS ודיווח TLS

כדי לוודא שהגדרתם נכון את MTA-STS ואת דוחות TLS, בדקו את הגדרות MTA-STS בדף 'תקינות האבטחה'.

הערה: הזמן שנדרש כדי שרשומות DNS ישתנו ויכנסו לתוקף מבוסס על הערך של אורך החיים (TTL) של הרשומה. לכל רשומת DNS בדומיין יש TTL. בהתאם ל-TTL, יכול להיות שיעברו עד 24 שעות עד שהשינויים ייכנסו לתוקף. מידע נוסף על TTL ועל ערכים מומלצים