ドメインの MTA-STS 設定を確認してください。TLS 暗号化による安全なメール送信を確保し、ダウングレード攻撃やメッセージの傍受から保護しましょう。
Skysnagは、ドメインのMTA-STSの実装と管理を自動化し、メールが常に安全に送信されることを保証します。
自動設定
手動設定なしでMTA-STSポリシーを生成し、展開する
DNSレコード管理
MTA-STSのために必要なDNSレコードを作成し、維持する
ポリシーのホスティング
MTA-STSポリシーファイルを安全で高可用性のサーバーにホストする
TLS-RPT統合
TLS-RPTとシームレスに統合し、包括的な報告を提供する
段階的展開
テストモードから強制モードへの安全な移行を行い、メールの中断を防ぐ
継続的な監視
MTA-STSポリシーの効果を監視し、問題を検出する
MTA-STS（Mail Transfer Agent Strict Transport Security）は、すべての受信メールに対してTLS暗号化の適用をドメイン所有者が強制できる電子メールのセキュリティ標準です。これにより、攻撃者がダウングレード攻撃や中間者攻撃を通じてメールを傍受することを防ぎます。
あなたのドメインに接続するすべてのメールサーバーがTLS暗号化を使用することを要求し、平文メールの送信を防止します。
攻撃者が暗号化されていない接続を介してメール配信を強制し、メッセージを傍受するのを防ぐ
メールサーバーが提示するTLS証明書の有効性を検証し、中間者攻撃を防止する
TLS要件を満たせない場合に、メールサーバーが配信失敗をどのように処理すべきかを定義する
MTA-STSポリシーは、セキュリティ要件に応じて異なるモードで展開できます：
モニターモード - 失敗を報告するが、メッセージは配信する
厳格モード - TLS要件が満たされていない場合は配信を拒否する
ポリシーの強制なし - 既存のポリシーを削除するために使用される
SkysnagでMTA-STSを実装した影響を確認する
100%
TLS暗号化されたメール配信
98%
ダウングレード攻撃の減少
24/7
ポリシーの監視とアラート
99.9%
安全なメール配信率
当社の専門家の一人とミーティングを行い、レポートを見直しましょう。問題を詳しく説明し、セキュリティのギャップを解説し、Skysnagがどのようにそれらを自動的に解決するかをご紹介します。
私の結果について話すSkysnagは、DMARCの強制、SPFとDKIMの自動化、MTA-STSとTLS-RPTの展開、BIMIの有効化に必要なすべてを提供し、メールのセキュリティ、準拠、信頼性を確保します。
Monitor
メールの妥協試行を特定し、メール配信の問題をトラブルシューティングする
Comply
Microsoft、Google、Yahooの要件に準拠し、送信データをリアルタイムで視覚化する
Protect
比類のないメールセキュリティのためにDMARC強制を自動化する
Certify
世界最高のアイデンティティ基準でブランドを認証する
MTA-STS (Mail Transfer Agent Strict Transport Security) は、暗号化された TLS 接続を介して他のメール サーバーに電子メールを配信することを強制する標準です。これは 2 つの部分 で構成されています。_mta-sts.yourdomain.com の DNS TXT レコードと、https://mta-sts.yourdomain.com/.well-known/mta-sts.txt でホストされているポリシー ファイルです。
MTA-STS は、RFC 8461 で定義されており、電子メール暗号化のギャップを埋めます。通常、STARTTLS は便宜的です。攻撃者はそれを剥奪して平文を強制することができます。 MTA-STS を使用すると、「有効な TLS 経由でのみ配信する」というポリシーを公開でき、準拠した送信者はダウングレードを拒否します。
2 つの部分で動作します。小さなDNS TXT レコード (v=STSv1; id=...) は、ポリシーが存在し、ポリシーが最後に変更された時期を示します。実際のポリシー ファイルは、固定 .well-known パスで HTTPS 経由で提供され、メール サーバー、強制モード、送信者がキャッシュする期間がリストされています。
MTA-STS と TLS-RPT のペア: MTA-STS は暗号化を強制し、暗号化が失敗した場合は TLS-RPT が報告します。 enforce に切り替える前に、まず testing モード (レポートは行いますがブロックはしません) でロールアウトします。
MTA-STS には 2 つのコンポーネントがあるため、完全なチェックでは DNS レコードとポリシー ファイルの両方が調べられます。
_mta-sts サブドメインをクエリします。
$ dig TXT _mta-sts.example.com +short固定の既知のパスから HTTPS 経由でポリシーを取得します。
$ curl https://mta-sts.example.com/.well-known/mta-sts.txtポリシーには、実際の mx ホストと mode をリストする必要があります。 enforce は非 TLS 配信をブロックします。 testing はレポートのみです。上記のチェッカーは両方の部分を一緒に検証します。
_mta-sts.example.comv=STSv1; id=20261107T000000ZMTA-STS DNS レコード。通知するポリシー ファイル (/.well-known/mta-sts.txt) には、バージョン STSv1、モード: enforce、mx ホスト、および max_age が含まれます。
DNS レコードには 2 つのタグがあります。ポリシー ファイルには独自のフィールドがあります。
| タグ | タイプ | 意味 |
|---|---|---|
v |
必須 (DNS) | バージョン。 STSv1 である必要があります。 |
id |
必須 (DNS) | 固有のポリシー ID。送信者が更新されるように、ポリシー ファイルを更新するたびにこの値を変更します。 |
mode |
必須（ポリシー） | enforce (非 TLS をブロック)、testing (レポートのみ)、または none。 |
mx |
必須（ポリシー） | 許可されたメール サーバーのホスト名。 |
max_age |
必須（ポリシー） | 送信者がポリシーをキャッシュする時間 (秒)。 |
MTA-STS の一般的な結果。
| 結果 | 意味と対処法 |
|---|---|
| DNS レコードがありません | _mta-sts TXT レコードとポリシー ファイルを一緒に公開します。両方が必要です。 |
| DNS レコードは存在しますが、ポリシー ファイル 404 が存在します | 送信者はポリシーを適用できません。有効な HTTPS 経由で、正確な .well-known パスで mta-sts.txt をホストします。 |
| モード: テスト | 報告はしていますが、強制はしていません。 TLS-RPT に正当な障害が表示されなくなったら、enforce に移行します。 |
| MXリストが間違っています | 配信が中断される可能性があります。ポリシー mx エントリは、実際の MX レコードと一致する必要があります。 |
MTA-STS (Mail Transfer Agent Strict Transport Security) は、他のメール サーバーが有効な TLS 接続を介して電子メールを配信することを要求し、ダウングレードや傍受攻撃を防ぐ標準です。 DNS レコードとホストされたポリシー ファイルを使用します。
DNS レコード (dig TXT _mta-sts.yourdomain.com +short) とポリシー ファイル (https://mta-sts.yourdomain.com/.well-known/mta-sts.txt) の 2 つを確認します。両方が存在し、有効である必要があります。上記のチェッカーは両方を実行します。
testing モードは、配信をブロックすることなく TLS 問題を (TLS-RPT 経由で) 報告します。 enforce モードは非 TLS 配信を拒否します。 testing で開始し、正規のメールが失敗しないことを確認してから、enforce に切り替えます。
それらは互いに補完し合います。 MTA-STS は暗号化された配信を強制します。 TLS-RPT は、障害に関する日次レポートを提供します。両方を導入すると、安全に施行に移行し、可視性を維持できます。
