# كيف أعد MTA-STS وTLS-RPT لنطاقي؟

> يحتاج MTA-STS إلى سجل TXT على _mta-sts، وملف سياسة يُقدَّم عبر HTTPS على mta-sts.yourdomain، وسجل TXT لـ TLS-RPT للتقارير.

- URL: https://postelva.com/ar/guides/mta-sts-setup/
- آخر تحديث: 2026-11-12
- الناشر: Postelva (https://postelva.com)

يخبر MTA-STS خوادم البريد الأخرى بأن تسلّم إليك عبر TLS موثّق فقط. يحتاج إلى سجلين في DNS وملف صغير واحد على خادم ويب.

**الإجابة المختصرة — كيف أعد MTA-STS وTLS-RPT؟**

انشر سجل TXT على _mta-sts.yourdomain يحمل v=STSv1 ومعرّفًا، وقدّم ملف السياسة على https://mta-sts.yourdomain/.well-known/mta-sts.txt بشهادة صالحة، وأضف سجل TXT على _smtp._tls لتقارير TLS-RPT (RFC 8461 وRFC 8460). **Postelva** يستضيف سجلات DNS؛ أما ملف السياسة فيحتاج إلى خادم ويب يعمل بـ HTTPS.

## القطع الأربع لإعداد MTA-STS وTLS-RPT

*الأسماء والصيغ من RFC 8461 وRFC 8460، قُرئت في 12 نوفمبر 2026.*

| القطعة | المكان | المحتوى | يُستضاف في |
| --- | --- | --- | --- |
| سجل MTA-STS | TXT على _mta-sts.example.com | v=STSv1; id=20261112T000000Z | DNS الخاص بك (DNS مجاني لدى Postelva) |
| اسم مضيف الويب | A أو AAAA أو CNAME على mta-sts.example.com | يشير إلى خادم ويب | DNS الخاص بك |
| ملف السياسة | https://mta-sts.example.com/.well-known/mta-sts.txt | version وmode وسطور mx وmax_age | مضيف ويب يعمل بـ HTTPS وبشهادة صالحة |
| سجل TLS-RPT | TXT على _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | DNS الخاص بك |

## إعداد MTA-STS في ستة خطوات

1. **اسرد مضيفي MX لديك** — يجب أن تسمّي السياسة خوادم البريد الخاصة بمزوّدك. تستخدم Proton Mail الخادمين mail.protonmail.ch وmailsec.protonmail.ch، وتستخدم Mailbox.org الخوادم من mxext1 إلى mxext4.mailbox.org.
2. **اضبط اسم مضيف الويب** — في محرر DNS، أضف سجلًا لـ mta-sts يشير إلى خادم ويب تتحكم فيه، واحصل على شهادة صالحة لـ mta-sts.yourdomain.
3. **انشر ملف السياسة في وضع الاختبار** — أنشئ الملف mta-sts.txt في المجلد .well-known، مع mode: testing وmax_age قصيرة.
4. **أضف سجل TXT باسم _mta-sts** — انشر v=STSv1; id= متبوعة بقيمة فريدة، مثل التاريخ والوقت.
5. **أضف سجل TLS-RPT** — انشر سجل TXT على _smtp._tls مع عنوان mailto في rua، واقرأ التقارير اليومية.
6. **انتقل إلى enforce** — عندما تُظهر التقارير عدم وجود فشل لمضيفي MX الخاصين بك، غيّر الوضع إلى enforce، وارفع max_age، وحدّث المعرّف.

*سجلات DNS وملف السياسة (الوضع testing)*

```dns
; DNS records
_mta-sts.example.com.      IN  TXT    "v=STSv1; id=20261112T000000Z"
_smtp._tls.example.com.    IN  TXT    "v=TLSRPTv1; rua=mailto:tlsrpt@example.com"
mta-sts.example.com.       IN  CNAME  webhost.example.net.

; File served at https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.protonmail.ch
mx: mailsec.protonmail.ch
max_age: 86400
```

## ماذا يحمي MTA-STS؟

**يتيح MTA-STS لنطاق البريد أن يعلن أنه يدعم TLS، وأن على المرسلين رفض التسليم إلى أي من مضيفي MX الذين لا يستطيعون تقديم شهادة صالحة.** يحدده RFC 8461، وهو معيار مقترح صدر في سبتمبر 2018. من دونه يكون التشفير بين الخوادم اختياريًا: يحاول المرسل STARTTLS، فإذا أزاله مهاجم أرسل الرسالة نصًا واضحًا.

مع سياسة في وضع enforce، يجلب المرسل الذي يدعم MTA-STS سياستك، ويتحقق من أن مضيف MX موجود في قائمة mx، ويشترط اتصال TLS صالحًا بشهادة مطابقة. إن فشل أي فحص، تنتظر الرسالة ولا تُسلَّم عبر قناة أضعف. يحمي البريد الوارد فقط، ولا يعمل إلا مع المرسلين الذين يطبّقونه. ولا يوثّق الرسائل: هذه مهمة السجلات الواردة في [SPF مقابل DKIM مقابل DMARC](https://postelva.com/ar/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?").

## ماذا يوجد في ملف السياسة؟

**ملف السياسة ملف نصي عادي فيه أسطر على شكل مفتاح: قيمة، تحمل الإصدار والوضع وأنماط MX المسموح بها ومدة الصلاحية بالثواني.** يعرّف RFC 8461 هذه الحقول. يجب أن يكون version هو STSv1. أما mode فهو enforce (لا يجوز للمرسلين التسليم إلى مضيفين يفشلون في الفحوص)، أو testing (يجوز المضي في التسليم، ويرسل المرسلون الداعمون لـ TLS-RPT تقارير الفشل)، أو none (كأن لا توجد سياسة). كل سطر mx يسمّي مضيفًا كاملًا، مثل mail.protonmail.ch، أو يستخدم حرفًا عامًا في أول مقطع، مثل *.example.net. أما max_age فعدد ثوانٍ، لا يتجاوز 31,557,600، ويقول RFC إنها عادة أسابيع أو أكثر. ويستخدم مثاله القيمة 604800، أي أسبوع.

يجب أن يُقدَّم الملف عبر HTTPS على mta-sts.yourdomain بشهادة صالحة لهذا الاسم. تُحسب فقط الإجابة HTTP 200، ولا يجوز اتباع عمليات إعادة التوجيه، وهذا يستبعد تحويل عناوين URL، أي خدمة تجيب بإعادة توجيه. ينبغي إرسال الملف بصيغة text/plain. استخدم مضيف ويب صغيرًا أو مضيف صفحات ثابتة تتحكم فيه. ويجب أن تطابق سطور mx سجلات مزوّدك كما وردت في [ما هو سجل MX](https://postelva.com/ar/what-is-an-mx-record/ "What is an MX record?").

## ما هو المعرّف، وما ترتيب التحديث؟

**المعرّف في سجل TXT تسمية من 1 إلى 32 حرفًا ورقمًا، ويجب أن يتغير كلما تغيّرت السياسة، حتى يعرف المرسلون أن عليهم جلب الملف من جديد.** يقول RFC 8461 إنه يحدد نسخة واحدة من السياسة، وإنه لا يوجد ترتيب بين المعرّفات، لذلك تصلح طابعة زمنية بالتاريخ والوقت جيدًا.

حدّث بهذا الترتيب: انشر ملف السياسة الجديد أولًا، ثم غيّر المعرّف. فالمرسل الذي يرى المعرّف الجديد قبل الملف الجديد سيخزّن السياسة القديمة من جديد. وعند تغيير مزوّد البريد تتغير مضيفات MX أيضًا، لذلك عدّل سطور mx قبل أن تغيّر سجلات MX، واحتفظ بالمضيفين القدامى في القائمة أثناء النقل، ثم ارفع المعرّف. سطر mx منسي في وضع enforce يوقف وصول البريد، ويعطي دليل النقل [كيف تنقل البريد الإلكتروني إلى مزوّد جديد](https://postelva.com/ar/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail") الترتيب الآمن لبقية الخطوات.

## ما هو TLS-RPT وماذا تحتوي التقارير؟

**TLS-RPT صيغة تقارير وفق RFC 8460، يخبرك فيها خوادم الإرسال يوميًا بعدد اتصالات TLS إلى نطاقك التي نجحت أو فشلت.** تنشر سجل TXT على _smtp._tls.yourdomain بالقيمة v=TLSRPTv1 وحقل rua يحمل عنوان mailto: أو https:. ويجب أن تحمل التقارير المرسلة بالبريد توقيع DKIM صالحًا من النطاق المُرسِل للتقرير.

كل تقرير وثيقة JSON تغطي يومًا واحدًا بالتوقيت العالمي المنسّق. تسمّي السياسة المطبّقة (MTA-STS أو DANE أو none)، وتحصي الجلسات الناجحة والفاشلة، وتذكر نوع الفشل، مثل certificate-expired أو starttls-not-supported، مع عناوين IP للمرسل والمستقبِل. بهذا تعرف أن شهادة انتهت صلاحيتها أو أن سطر mx به خطأ مطبعي، قبل أن تنتقل إلى enforce. اعتبر الأسابيع الأولى فترة تجربة كما يوصي بها [DMARC](https://postelva.com/ar/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject").

## هل أحتاج إلى MTA-STS لنطاق بريد شخصي؟

**لا: MTA-STS تقوية اختيارية، ولا تشترطه قواعد المرسلين الكبار.** تطلب Google وYahoo وMicrosoft من المرسلين بالجملة SPF وDKIM وDMARC، ولا تذكر MTA-STS. بالنسبة لنطاق شخصي لدى Proton Mail أو Fastmail أو Mailbox.org، لا يستحق الإعداد إلا إذا قبلت عبء صيانة مضيف ويب وشهادة.

تختلف المزوّدات. وفقًا لقراءة Postelva في 12 نوفمبر 2026 لقوائم إعداد DNS لأربعة مزوّدين (Proton Mail وTuta وMailbox.org وFastmail)، يسرد مزوّد واحد سجل MTA-STS ضمن إعداده (Tuta، كسجل CNAME)، ولا توثّق صفحات المساعدة للمزوّدين الثلاثة الآخرين أيًا منه. يتكون الإعداد كله من 3 سجلات DNS وملف واحد. تحقق من كل واحد بالأوامر الواردة في [كيف تتحقق من سجلات MX وSPF وDKIM وDMARC](https://postelva.com/ar/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"): dig TXT _mta-sts.example.com +short وdig TXT _smtp._tls.example.com +short.

تعريف يصلح للاستشهاد: MTA-STS هي السياسة التي تجعل TLS إلزاميًا عندما تسلّم الخوادم الأخرى البريد إلى نطاقك، وTLS-RPT هو التقرير اليومي الذي يخبرك متى يفشل ذلك.

## أسئلة حول MTA-STS وTLS-RPT

### هل يمكنني استضافة ملف سياسة MTA-STS لدى مزوّد DNS؟

لا، لا يكفي مزوّد DNS وحده: يحتاج الملف إلى خادم ويب يجيب عبر HTTPS على mta-sts.yourdomain. لا يعمل تحويل عناوين URL، لأن عمليات إعادة التوجيه يجب ألا تُتبع.

### ما max_age الذي ينبغي أن أستخدمه؟

يقول RFC 8461 إن القيمة عادة تتراوح من أسابيع فما فوق، مع 604800 ثانية (أسبوع) في مثاله. ابدأ بقيمة قصيرة في وضع الاختبار، وارفعها حين تكون التقارير نظيفة.

### هل MTA-STS هو نفسه DANE؟

لا. يحمي كلاهما TLS بين الخوادم، لكن DANE يعتمد على DNSSEC وسجلات TLSA، أما MTA-STS فيعتمد على ملف سياسة عبر HTTPS. ويُقدّم TLS-RPT تقارير عن الاثنين.

### ماذا يحدث إن انتهت شهادتي في وضع enforce؟

يتوقف المرسلون الداعمون لـ MTA-STS عن التسليم إلى مضيفيك عند فشل شهادة أحد مضيفي MX، ويبقى البريد منتظرًا في طابورهم. ينطبق الأمر نفسه على سطر mx مفقود، لذلك راقب TLS-RPT.

### هل يجب أن أستخدم وضع enforce؟

لا. يمنحك وضع الاختبار التقارير بالفعل، والوضع none يوقف السياسة.

**في الخلاصة**

- MTA-STS (RFC 8461) يجعل TLS إلزاميًا للبريد الذي يُسلَّم إلى نطاقك.
- الإعداد: سجل TXT على _mta-sts، وملف سياسة عبر HTTPS على mta-sts.yourdomain/.well-known/mta-sts.txt، وسجل TXT على _smtp._tls لتقارير TLS-RPT (RFC 8460).
- تسرد السياسة mode (enforce أو testing أو none) ومضيفي mx وmax_age، بحد أقصى 31,557,600 ثانية.
- لا يجوز اتباع عمليات إعادة التوجيه، لذلك لا يمكن لتحويل عناوين URL أن يقدم الملف.
- غيّر المعرّف كلما تغيّرت السياسة؛ حدّث الملف أولًا، ثم سجل TXT.
- ابدأ بوضع الاختبار واقرأ تقارير TLS-RPT قبل enforce.
- Postelva يستضيف سجلات DNS مجانًا؛ ونطاق .com يكلّف ‏12.49 US$/سنة كل سنة.

## المصادر

1. [RFC 8461، أمان النقل الصارم لبروتوكول SMTP للوكيل (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (قُرئت 2026-11-12)
2. [RFC 8460، SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (قُرئت 2026-11-12)
3. [إرشادات مُرسِلي البريد الإلكتروني](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (قُرئت 2026-11-12)
4. [نطاق مخصص ومكافحة الانتحال](https://proton.me/support/anti-spoofing-custom-domain) — Proton (قُرئت 2026-11-12)

---

Postelva: تسجّل Postelva أسماء نطاقات للبريد الإلكتروني الخاص — العنوان الذي تحتفظ به عند تغيير المزوّد — مدفوعة بالعملات الرقمية بلا KYC: بلا هوية، ولا يوجد سوى بريد إلكتروني موثَّق واحد لكل نطاق. تديرها DomaineGoat LLC، وهي شركة مسجّلة في بنما؛ وتُسجَّل النطاقات عبر شريكها المسجِّل المعتمد لدى ICANN. سعر .com هو ‏12.49 US$/سنة، وهو السعر نفسه كل عام.