MTA-STS 检查器

服务器之间的邮件在双方都同意的情况下才会被加密，中间的攻击者可以使他们不同意。 MTA-STS 是域表明其邮件必须加密或根本不加密到达的方式。 检查您控制的域并查看该策略是否已发布以及是否已强制执行。

MTA-STS 是什么（在一段话中）

当一台邮件服务器向另一台邮件服务器发送邮件时，它会以纯文本形式开始，并要求切换到 TLS。位于路径中的攻击者可以删除该请求，并且两台服务器将进行未加密的操作没有人注意到。 MTA-STS 缩小了这一差距。您的域在其自己的网址上发布了一个简短的 TXT 记录和一个策略文件；支持它的发送服务器获取该策略，记住它，然后仅通过具有有效证书的 TLS 连接将其发送到其中指定的邮件服务器。

检查您自己的 MTA-STS 的五个理由

攻击者可以关闭的加密就不是加密

机会主义TLS 可防止有人被动阅读邮件。它不能防止有人愿意干预，因为降级是无声的。 MTA-STS 是将“通常加密”变为“除非加密否则拒绝”的控件。

记录本身没有任何作用

TXT 记录仅告诉发件人存在策略。该策略本身位于 https://mta-sts.yourdomain/.well-known/mta-sts.txt，并且必须可以通过该名称上的有效证书进行访问。没有工作策略文件的记录是最常见的认为您受到保护的方式，而实际上您并未受到保护。

测试模式是起点，而不是终点

策略具有模式：none、testing 或 enforce。处于测试模式的发送器检查失败时仍交付并仅报告。这是正确的开始方式，许多域名会在那里停留多年。仅 enforce 会停止降级的递送。

列出错误邮件服务器的策略拒绝您自己的邮件

该策略指定允许接收域邮件的 MX 主机。转移到新的邮件提供商而不进行更新，并且执行该策略的发件人根本不会将邮件发送到新服务器。这这也是长 max_age 的风险：只要您承诺的时间，错误的政策就会被发件人缓存。

TLS-RPT 是您发现的方法

TLS 报告是第二个 TXT 记录，它告诉发件人将有关传送失败和策略问题的每日报告发送到哪里。如果没有它，强制执行的策略就会悄无声息地失败，而问题的第一个迹象就是客户的邮件从未到达。

了解您的政策变更日期

MTA-STS 设置是一条记录、一个网址、一个证书和一个邮件服务器列表，每个服务器都有不同的所有者。

计划扫描将其转变为您被告知的差异：策略文件停止加载，策略名称上的证书已过期，模式从 enforce 回到 testing。警报通过电子邮件、Slack、Teams、Jira 或 Webhook 到达应用程序内。

步骤 01 · 命名域名

您控制的域已添加到您的 AYAsec 帐户。在分派任何内容之前都会检查所有权 - AYAsec 不会安排对您未证明控制的基础设施进行扫描，并且证明需要一条 DNS 记录。上面的快速检查跳过了这一点：没有帐户，没有验证，只有 IP 速率限制以及目标必须是公共地址的规则。

步骤02·让检查运行

记录和策略文件是公开的，因此它是读取而不是探测。它以发送邮件服务器的方式获取它们。

步骤03·读取结果

结果按严重程度排序，得分为 A+ 到 F。缺失的策略和测试模式下的策略并不位于同一个无差别列表中。

这是什么部分

MTA-STS 是 AYAsec 在 DNS 扫描过程中检查的多个邮件相关记录之一，以及 SPF、DKIM、DMARC、TLS-RPT 和 DNSSEC。 这是一次扫描，此页仅介绍其所查看内容的一部分。

DNS 承担综合等级的 20%。其他为 HTTP，占 30%，TLS 和端口，各占 20%，域可信度为 10%。所有这些加在一起就是攻击面管理指的是实践。

检查前的问题

我可以检查什么？

您拥有或签约测试的基础设施。上面的快速检查并不能为您验证这一点 - 它仅按 IP 进行速率限制，并且拒绝以公共地址以外的任何目标为目标。相反，将域添加到 AYAsec 帐户，并在任何计划运行之前验证控制权：法律边界与实际边界一样重要，因为未经验证的扫描对您来说也没有任何证据用处。

MTA-STS 是公开的。为什么需要这个验证？

记录和政策是公开的，检查是只读的，因此检查本身是无害的。验证是关于接下来发生的事情：您的 AYAsec 帐户中的域受到监控、评分并保存在您的历史记录中，对于不属于您的域来说，这一切都不应该发生。

MTA-STS 是否保护我发送的邮件？

不会。它会保护发送到您的域的邮件。您发送的消息是否受到保护取决于策略接收域的名称以及您自己的邮件服务器上的名称。

MTA-STS 和 DANE 之间有什么区别？

两者都针对相同的降级问题。 DANE依赖于DNSSEC并在DNS中发布证书； MTA-STS 依赖于 HTTPS 策略和普通证书。 MTA-STS 部署更简单，并且得到大型提供商的支持。

如何安全地从测试转向执行？

以 testing 模式发布政策打开 TLS-RPT，阅读报告几周，修复它们显示的内容（通常是不匹配的证书或 MX 名称），然后更改模式并引发 max_age。

你保留结果吗？

不是上面的快速检查 - 它会在内存中保存大约十五分钟，因此您可以阅读一次，然后它就消失了。这是一个经过深思熟虑的隐私选择，而不是限制：除了您之外没有人看到该扫描，并且您可以在其过期之前下载完整的结果。相反，将域添加到 AYAsec 帐户，并且每次扫描都会被保留 - 一系列的信息会告诉您哪个编辑破坏了它。保留取决于您的计划。

保留历史，而不仅仅是历史结果

按计划对您自己的域运行完整的 DNS 检查，并将每个更改标记给需要查看它的任何人。

开始免费扫描比较计划

其他跳棋

View all free security scanners

要嵌入的结构化数据

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec MTA-STS Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/mta-sts-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

请勿添加 FAQPage 或 HowTo 标记 - Google 撤回了这两种结果类型。