MTA-STS وTLS-RPT: أمان نقل البريد الإلكتروني
· PoolByte Technology
يساعد SPF وDKIM وDMARC في تقييم هوية البريد الإلكتروني. من ناحية أخرى، تتعلق MTA-STS بدعم خوادم الإرسال التي تتعلم سياسة الاتصال الآمن الخاصة بك عند نقل الرسائل إلى نطاقك. يمكن استخدام TLS-RPT للإبلاغ عن المشكلات أثناء عملية النقل هذه. هاتان المشكلتان ليستا نفس التشفير الشامل لمحتوى البريد الإلكتروني.
ما هي الحدود التي تحميها MTA-STS؟
توفر MTA-STS سياسة تصف الوصول إلى خوادم البريد الخاصة بنطاق المستلم عبر TLS وبشروط المصادقة المناسبة. RFC 8461 يحدد سلوك الاكتشاف والسياسة. ويعتمد التأثير أيضًا على الطرف المرسل الذي يدعم هذا المعيار؛ ولا يوفر الأمان المطلق لجميع حركة مرور البريد الإلكتروني من تلقاء نفسه.
يجب أن تكون أسماء MX التي تحتفظ بها السياسة في القائمة متوافقة مع التوجيه الفعلي للبريد. يتم أخذ السياسة أيضًا في الاعتبار عند التخطيط لتغيير الشهادة أو اسم الخادم. يمكن أن تؤدي سياسة التنفيذ غير المحددة إلى تأخير الرسائل المشروعة أو عدم تسليمها. لهذا السبب، لا تقم فقط بإضافة سجل إلى DNS وتعتبر العملية مكتملة.
راقب أولاً، ثم طبّق السياسة تدريجياً
تحقق من خوادم البريد والشهادات ودعم مزود الخدمة الحالي. ويمكن النظر في نهج المراقبة في وضع الاختبار ومن ثم الانتقال إلى سياسة الإلزام حسب الاقتضاء. لا تفترض أن التغيير سيسري فورًا على جميع المرسلين بسبب مدد صلاحية السياسة وسلوك ذاكرة التخزين المؤقت.
إذا كنت تريد تغيير مزود البريد الخاص بك، فخطط مسبقًا لترتيب النقل لأسماء MX القديمة والجديدة. حتى لو تم تغيير DNS، فقد يستخدم بعض المرسلين السياسة السابقة. اجمع المسؤولين عن السياسة والشهادات وعمليات DNS في نفس سجل الترحيل. قد تتطلب خطوة التراجع أكثر من مجرد إعادة كتابة سجل MX القديم.
ماذا تظهر تقارير TLS؟
يصف RFC 8460 إطار عمل إعداد تقارير SMTP TLS. يمكن أن تساعد التقارير في فهم مشكلات السياسة أو TLS أثناء نقل الرسائل. عدم تلقي التقرير ليس دليلاً على أن جميع المرسلين سلموا دون مشاكل؛ يختلف سلوك الدعم والإبلاغ.
تأكد من أن العنوان الذي ستتلقى التقارير منه يعمل، وأن الملفات الواردة تتم معالجتها بشكل آمن، وأنه لا يتم تخزين البيانات الشخصية غير الضرورية. لا تقم تلقائيًا بإجراء تغييرات جذرية من خلال قبول تقرير خارجي واحد كحقيقة مطلقة. قارن إذا حدثت أخطاء مماثلة حسب الوقت والمرسل وMX. لا تفترض أن البريد الإلكتروني للتطبيق المرسل من الموقع والبريد الإلكتروني المرسل إلى مجال الشركة لهما نفس القياس.
قائمة التحقق من العملية
- مطابقة السياسة مع أسماء MX الفعلية.
- شهادة TLS صالحة لخادم البريد.
- الوصول إلى ملف السياسة من عنوان HTTPS الصحيح.
- تغيير معرف سياسة DNS ومدة ذاكرة التخزين المؤقت.
- إمكانية الوصول إلى عنوان التقرير وتتبع الأخطاء.
- خطة انتقالية للشروط القديمة والجديدة عند تغيير مقدمي الخدمة.
قبل التثبيت، اكتشف ما إذا كان مزود البريد يدعم هذه البنية؛ لا تفترض أنك تدير البنية التحتية للبريد الإلكتروني لمجرد إمكانية إجراء الإعدادات في استضافة الموقع. دليل مصادقة البريد الإلكتروني يتناول طبقة أخرى. يتم إنشاء عملية بريد قوية من خلال فهم الأدوار المنفصلة للمصادقة وأمن النقل.