انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
العودة إلى الأدوات

أداة فحص MTA-STS

افحص سجل MTA-STS لنطاق ما وملف سياسته ووضعه، وسجل تقارير TLS-RPT الخاص به. ويقيّم الفحص نفسه SPF وDKIM وDMARC وبقية جوانب أمان البريد الإلكتروني للنطاق.
ابدأ فحصًا
  • فحص قائم على DNS
  • تحليل غير اقتحامي

ما هو MTA-STS؟

يتيح MTA-STS (SMTP MTA Strict Transport Security، RFC 8461) للنطاق أن يطلب من خوادم البريد المرسِلة ألا تسلّم بريده إلا عبر TLS موثَّق إلى مضيفات MX التي يدرجها. ويتكون من جزأين: سجل TXT في _mta-sts متبوعًا بالنطاق، يتضمن v=STSv1 وقيمة id، وملف سياسة في https://mta-sts متبوعًا بالنطاق في /.well-known/mta-sts.txt.

من دونه يكون STARTTLS انتهازيًا: إذ يمكن للمهاجم القادر على حذف استجابة STARTTLS أو إعادة توجيه جلسة SMTP أن يخفّض مستوى التسليم أو يعترضه (RFC 8461، القسم 1).

تبحث أداة الفحص هذه عن سجل TXT، وتجلب ملف السياسة عبر HTTPS وتقرأ وضعه، وتفحص سجل TLS-RPT في _smtp._tls متبوعًا بالنطاق (RFC 8460). ولا تختبر شهادات مضيفات MX.

كيف يقيّم فحص MTA-STS السياسة

النتيجة 80 أو أكثر جيدة، ومن 50 إلى 79 تحذير، وأقل من 50 سيئة. يحمل MTA-STS 10 من أصل 100 نقطة في التقدير العام لأمان البريد الإلكتروني، ويحمل TLS-RPT 5 نقاط.
mode: enforce
الدرجة الكاملة.
mode: testing
النتيجة 80.
mode: none
النتيجة 50.
لا يوجد وضع قابل للقراءة
يحصل ملف السياسة الذي لا يتضمن وضعًا يستطيع الفحص قراءته على 70.
لا يوجد ملف سياسة قابل للوصول
يحصل سجل TXT من دون ملف سياسة يستطيع الفحص جلبه على 40.
TLS-RPT
يحصل السجل الذي يتضمن عنوان إبلاغ rua على 100، وعلى 50 من دونه.

مشكلات MTA-STS الشائعة وكيفية إصلاحها

هذه هي المشكلات التي تكتشفها أداة الفحص هذه، مع التغيير الذي يصلح كلًّا منها.

ملف السياسة غير قابل للوصول

يحتاج المرسِلون إلى سجل TXT وملف السياسة معًا. ويجب تقديم الملف عبر HTTPS من المضيف mta-sts، بشهادة صالحة لذلك الاسم.

الإصلاح: انشر الملف في /.well-known/mta-sts.txt على المضيف mta-sts، مقدَّمًا بنوع text/plain، وتحقّق من أن اسم المضيف يُحَلّ وأن شهادته صالحة.

وضع testing ما زال مفعّلًا

في وضع testing، يواصل المرسِلون التسليم عبر الاتصالات التي تفشل في التحقق، ويكتفون بالإبلاغ عن الإخفاقات.

الإصلاح: بمجرد أن تخلو تقارير TLS-RPT من الإخفاقات، غيّر الوضع إلى enforce وغيّر قيمة id في سجل TXT ليجلب المرسِلون السياسة الجديدة.

وضع السياسة مضبوط على none

تخبر none المرسِلين بأن النطاق ليست لديه سياسة نشطة. ويستخدمها RFC 8461 لسحب MTA-STS (القسم 8.3).

الإصلاح: استخدم testing أو enforce، ما لم تكن بصدد إيقاف MTA-STS.

لا يوجد سجل MTA-STS

من دون MTA-STS لا يستطيع المرسِلون معرفة أن نطاقك يتوقع TLS موثَّقًا، لذا يمكن تخفيض مستوى التسليم.

الإصلاح: انشر ملف السياسة أولًا، ثم سجل TXT بقيمة id جديدة.

_mta-sts.example.com TXT "v=STSv1; id=20261018T000000"

لا يوجد عنوان إبلاغ TLS-RPT

سجل TLS-RPT من دون rua لا يرسل أي تقارير، ومن دون TLS-RPT لا تتلقى أي تقارير على الإطلاق.

الإصلاح: انشر v=TLSRPTv1 مع عنوان rua في _smtp._tls للنطاق.

_smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.com"

ملف سياسة MTA-STS والسجلات

_mta-sts TXT
v=STSv1 وقيمة id تصل إلى 32 حرفًا ورقمًا. غيّر قيمة id كلما تغيّرت السياسة.
version: STSv1
الحقل الأول في ملف السياسة.
mode:
وضع السياسة: enforce أو testing أو none.
mx:
سطر واحد لكل اسم مضيف MX أو نمط بحرف بدل، مثل *.example.net.
max_age:
المدة التي يمكن للمرسِلين فيها تخزين السياسة مؤقتًا، بالثواني، حتى 31557600 (نحو سنة).
_smtp._tls TXT
سجل TLS-RPT: v=TLSRPTv1 وعنوان rua للتقارير عن إخفاقات TLS.

مثال على ملف السياسة

version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800

المصادر

مزيد من أدوات مصادقة البريد الإلكتروني

ما بعد سجلات DNS

تمنع هذه السجلات الآخرين من إرسال البريد باسم نطاقك نفسه تمامًا. لكنها لا تمنع التصيّد من النطاقات المشابهة أو من الحسابات المخترقة، التي ترسل بريدًا مصادَقًا عليه. يربط Vigilbase OS أدوات الأمان التي تدفع مقابلها بالفعل، ومنها Microsoft 365 وGoogle Workspace وProofpoint وMimecast. ويحقق الوكيل Vigil في الحوادث عالية الخطورة، ويتولى محللو Vigilbase الحالات الاستثنائية.

SOC مُدارابدأ الآن
الأسئلة

الأسئلة الشائعة حول أداة فحص MTA-STS

ما الذي يفعله فحص MTA-STS؟

يبحث عن سجل TXT في _mta-sts للنطاق، ويجلب ملف السياسة من https://mta-sts متبوعًا بالنطاق في /.well-known/mta-sts.txt ويقرأ وضعه. وتفحص هذه الأداة أيضًا سجل TLS-RPT وتُجري الفحص الكامل لأمان البريد الإلكتروني.محلل أمان البريد الإلكترونيمقارنة الفحوصات الأمنية العامة

ما الفرق بين وضع enforce ووضع testing؟

في وضع enforce، يجب على خوادم الإرسال التي تطبّق MTA-STS ألا تسلّم البريد إلى مضيف يفشل في مطابقة MX أو في التحقق من الشهادة أو لا يدعم STARTTLS. أما في وضع testing فتسلّمه على أي حال وتُبلغ عن الإخفاقات عبر TLS-RPT. وتعني none عدم وجود سياسة نشطة (RFC 8461، القسم 5).حول مصادقة البريد الإلكتروني

أين يوضع ملف سياسة MTA-STS؟

في https://mta-sts.example.com/.well-known/mta-sts.txt، باستخدام نطاقك أنت. ويجب أن يقدّم المضيف mta-sts شهادة صالحة لذلك الاسم (RFC 8461، القسم 3.3)، وينبغي تقديم الملف بنوع text/plain.حول مصادقة البريد الإلكتروني

هل أحتاج إلى TLS-RPT مع MTA-STS؟

TLS-RPT (RFC 8460) سجل منفصل، لكن وضع testing يعتمد عليه: فالمرسِلون لا يُبلغون عن إخفاقات السياسة إلا للنطاقات التي تنشر سجل TLS-RPT (RFC 8461، القسم 5).حول مصادقة البريد الإلكتروني

هل يمكنني فحص MTA-STS عبر API؟

نعم. أرسل {"target":"example.com"} بطلب POST إلى https://vigilbase.com/api/v1/agent/tools/email-security/execute. تتضمن الاستجابة النتيجة الكاملة لأمان البريد الإلكتروني، مع MTA-STS تحت result.details.records.mtaSts و TLS-RPT تحت result.details.records.tlsRpt.تشغيل فحص عبر API العامةمصادقة API وحدود معدل الطلبات