پاسخ کوتاه
چگونه MTA-STS و TLS-RPT را راه‌اندازی کنم؟
یک رکورد TXT در _mta-sts.yourdomain با v=STSv1 و یک id منتشر کنید، فایل سیاست را روی https://mta-sts.yourdomain/.well-known/mta-sts.txt با گواهی معتبر سرو کنید، و یک رکورد TXT در _smtp._tls برای گزارش‌های TLS-RPT اضافه کنید (RFC 8461 و RFC 8460). Postelva رکوردهای DNS را میزبانی می‌کند؛ فایل سیاست به یک میزبان وب HTTPS نیاز دارد.
چهار بخش راه‌اندازی MTA-STS و TLS-RPT
| بخش | محل | محتوا | میزبانی‌شده در |
|---|---|---|---|
| رکورد MTA-STS | TXT در _mta-sts.example.com | v=STSv1; id=20261112T000000Z | DNS شما (DNS رایگان Postelva) |
| نام میزبان وب | A، AAAA یا CNAME در mta-sts.example.com | به یک سرور وب اشاره می‌کند | DNS شما |
| فایل سیاست | https://mta-sts.example.com/.well-known/mta-sts.txt | version، mode، خطوط mx، max_age | یک میزبان وب با HTTPS و گواهی معتبر |
| رکورد TLS-RPT | TXT در _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:[email protected] | DNS شما |
راه‌اندازی MTA-STS در شش مرحله
میزبان‌های MX خود را فهرست کنید
سیاست باید میزبان‌های نامه ارائه‌دهنده شما را نام ببرد. Proton Mail از mail.protonmail.ch و mailsec.protonmail.ch استفاده می‌کند، Mailbox.org از mxext1 تا mxext4.mailbox.org.
نام میزبان وب را تنظیم کنید
در ویرایشگر DNS، یک رکورد برای mta-sts اضافه کنید که به یک سرور وب تحت کنترل شما اشاره کند، و یک گواهی معتبر برای mta-sts.yourdomain بگیرید.
فایل سیاست را در حالت آزمایشی منتشر کنید
فایل mta-sts.txt را در پوشه .well-known بسازید، با mode: testing و یک max_age کوتاه.
رکورد TXT مربوط به _mta-sts را اضافه کنید
v=STSv1; id= را به‌همراه یک مقدار یکتا، مانند تاریخ و زمان، منتشر کنید.
رکورد TLS-RPT را اضافه کنید
رکورد TXT را در _smtp._tls با یک نشانی mailto در rua منتشر کنید، و گزارش‌های روزانه را بخوانید.
به enforce تغییر دهید
وقتی گزارش‌ها هیچ خطایی برای میزبان‌های MX خودتان نشان ندهند، mode را به enforce تغییر دهید، max_age را بالا ببرید و id را به‌روز کنید.
; DNS records
_mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z"
_smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:[email protected]"
mta-sts.example.com. IN CNAME webhost.example.net.
; File served at https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.protonmail.ch
mx: mailsec.protonmail.ch
max_age: 86400MTA-STS چه چیزی را محافظت می‌کند؟
MTA-STS به یک دامنه نامه اعلام می‌کند که از TLS پشتیبانی می‌کند و فرستنده‌ها باید تحویل به هر یک از میزبان‌های MX را که نمی‌توانند گواهی معتبر ارائه دهند رد کنند. RFC 8461، یک استاندارد پیشنهادی از سپتامبر ۲۰۱۸، آن را تعریف می‌کند. بدون آن، رمزگذاری بین سرورها اختیاری است: فرستنده تلاش می‌کند STARTTLS را بفرستد و اگر مهاجمی آن را حذف کند، پیام را متن ساده ارسال می‌کند.
با سیاستی در حالت enforce، فرستنده‌ای که MTA-STS را پشتیبانی می‌کند سیاست شما را می‌گیرد، بررسی می‌کند که میزبان MX در فهرست mx باشد، و یک اتصال TLS معتبر با گواهی منطبق می‌خواهد. اگر هر بررسی شکست بخورد، پیام منتظر می‌ماند و از کانال ضعیف‌تری تحویل نمی‌شود. این فقط از نامه ورودی محافظت می‌کند، و فقط برای فرستنده‌هایی کار می‌کند که آن را پیاده‌سازی کرده‌اند. این پیام‌ها را احراز هویت نمی‌کند: آن کار رکوردهای SPF در برابر DKIM در برابر DMARC است.
فایل سیاست چه چیزی دارد؟
فایل سیاست یک فایل متنی ساده از خطوط کلید: مقدار است که شامل نسخه، حالت، الگوهای MX مجاز و طول عمر به ثانیه است. RFC 8461 این فیلدها را تعریف می‌کند. version باید STSv1 باشد. mode یکی از enforce (فرستنده‌ها نباید به میزبان‌هایی که بررسی‌ها را رد می‌کنند تحویل دهند)، testing (تحویل می‌تواند ادامه یابد و فرستنده‌هایی که TLS-RPT را پشتیبانی می‌کنند گزارش خطا می‌فرستند) یا none (مثل اینکه هیچ سیاستی وجود نداشته) است. هر خط mx یک میزبان را کامل نام می‌برد، برای مثال mail.protonmail.ch، یا از یک wildcard در برچسب سمت چپ استفاده می‌کند، مانند *.example.net. max_age عددی بر حسب ثانیه، حداکثر 31,557,600، است و RFC می‌گوید معمولاً باید هفته‌ها یا بیشتر باشد. مثال آن 604800 یعنی یک هفته را به کار می‌برد.
فایل باید روی HTTPS در mta-sts.yourdomain با گواهی معتبر برای همان نام سرو شود. فقط پاسخ HTTP 200 حساب می‌شود و تغییر مسیر نباید دنبال شود، که URL forwarding را رد می‌کند، یعنی سرویسی که با تغییر مسیر پاسخ می‌دهد. فایل باید به‌صورت text/plain فرستاده شود. از یک میزبان وب کوچک یا میزبان صفحه ایستا که تحت کنترل شماست استفاده کنید. خطوط mx باید با رکوردهای ارائه‌دهنده شما که در MX چیست فهرست شده‌اند تطابق داشته باشند.
id و ترتیب به‌روزرسانی چیست؟
شناسه (id) در رکورد TXT برچسبی از ۱ تا ۳۲ حرف و رقم است که باید هر بار که سیاست تغییر می‌کند عوض شود، تا فرستنده‌ها بدانند فایل را دوباره دریافت کنند. RFC 8461 می‌گوید شناسه یک نمونه از سیاست را مشخص می‌کند و بین شناسه‌ها ترتیبی وجود ندارد، پس یک مهر زمانی تاریخ و ساعت خوب کار می‌کند.
به‌روزرسانی به این ترتیب انجام شود: اول فایل سیاست جدید را منتشر کنید، سپس id را تغییر دهید. فرستنده‌ای که id جدید را پیش از فایل جدید ببیند، سیاست قدیمی را دوباره کش می‌کند. وقتی ارائه‌دهنده ایمیل را عوض می‌کنید، میزبان‌های MX هم تغییر می‌کنند، پس خطوط mx را پیش از تغییر رکوردهای MX ویرایش کنید، میزبان‌های قدیمی را در طول انتقال در فهرست نگه دارید، و id را بالا ببرید. یک خط mx فراموش‌شده در حالت enforce باعث می‌شود نامه نرسد؛ راهنمای نحوه انتقال ایمیل به ارائه‌دهنده جدید ترتیب امن بقیه کارها را می‌دهد.
TLS-RPT چیست و گزارش‌ها چه چیزی دارند؟
TLS-RPT یک قالب گزارش است، RFC 8460، که در آن سرورهای ارسال هر روز به شما می‌گویند چند اتصال TLS به دامنه‌تان موفق یا ناموفق بوده است. شما یک رکورد TXT در _smtp._tls.yourdomain با v=TLSRPTv1 و یک فیلد rua منتشر می‌کنید که شامل یک نشانی mailto: یا https: است. گزارش‌های mailto باید امضای DKIM معتبر از دامنه گزارش‌دهنده داشته باشند.
هر گزارش یک سند JSON برای یک روز UTC است. سیاست اعمال‌شده (MTA-STS، DANE یا none) را نام می‌برد، جلسه‌های موفق و ناموفق را می‌شمارد، و نوع خطا را می‌دهد، مانند certificate-expired یا starttls-not-supported، همراه با نشانی‌های IP فرستنده و گیرنده. از این طریق پیش از تغییر به enforce می‌فهمید که گواهی منقضی شده یا خط mx تایپ‌غلط دارد. هفته‌های اول را همان دوره آزمایشی بدانید که برای DMARC توصیه شده است.
آیا برای یک دامنه ایمیل شخصی به MTA-STS نیاز دارم؟
نه: MTA-STS یک سخت‌سازی اختیاری است و قواعد فرستنده‌های بزرگ آن را الزامی نمی‌کنند. Google، Yahoo و Microsoft از فرستنده‌های انبوه SPF، DKIM و DMARC می‌خواهند و MTA-STS را فهرست نمی‌کنند. برای یک دامنه شخصی نزد Proton Mail، Fastmail یا Mailbox.org، راه‌اندازی فقط وقتی ارزش دارد که نگهداری یک میزبان وب و یک گواهی را بپذیرید.
ارائه‌دهندگان فرق دارند. طبق خواندن Postelva در ۱۲ نوامبر ۲۰۲۶ از فهرست‌های راه‌اندازی DNS چهار ارائه‌دهنده (Proton Mail، Tuta، Mailbox.org و Fastmail)، یکی رکورد MTA-STS را در راه‌اندازی خودش فهرست می‌کند (Tuta، یک CNAME)، و صفحات راهنمای سه تای دیگر هیچ‌کدام را مستند نمی‌کنند. کل راه‌اندازی ۳ رکورد DNS و ۱ فایل است. هرکدام را با دستورهای نحوه بررسی رکوردهای MX، SPF، DKIM و DMARC بررسی کنید: dig TXT _mta-sts.example.com +short و dig TXT _smtp._tls.example.com +short.
یک تعریف قابل استناد: MTA-STS سیاستی است که وقتی سرورهای دیگر نامه را به دامنه شما تحویل می‌دهند TLS را الزامی می‌کند، و TLS-RPT گزارش روزانه‌ای است که نشان می‌دهد کی شکست می‌خورد.
پرسش‌های MTA-STS و TLS-RPT
آیا می‌توانم فایل سیاست MTA-STS را نزد ارائه‌دهنده DNS میزبانی کنم؟
به‌تنهایی نه: فایل به یک سرور وب نیاز دارد که روی HTTPS در mta-sts.yourdomain پاسخ دهد. URL forwarding کار نمی‌کند، زیرا تغییر مسیر نباید دنبال شود.
کدام max_age را استفاده کنم؟
RFC 8461 می‌گوید مقدار معمولاً از هفته‌ها به بالا است، با 604800 ثانیه (یک هفته) در مثال خودش. با یک مقدار کوتاه در حالت testing شروع کنید و وقتی گزارش‌ها پاک هستند آن را بالا ببرید.
آیا MTA-STS همان DANE است؟
نه. هر دو از TLS سرور به سرور محافظت می‌کنند، اما DANE به DNSSEC و رکوردهای TLSA وابسته است، در حالی که MTA-STS به یک فایل سیاست HTTPS وابسته است. TLS-RPT هر دو را گزارش می‌دهد.
اگر گواهی‌ام در حالت enforce منقضی شود چه می‌شود؟
فرستنده‌هایی که MTA-STS را پشتیبانی می‌کنند تحویل به میزبان‌های شما را وقتی گواهی یک میزبان MX شکست بخورد متوقف می‌کنند، و نامه در صف آنها می‌ماند. همین برای یک خط mx گم‌شده صادق است، پس TLS-RPT را زیر نظر بگیرید.
آیا باید از حالت enforce استفاده کنم؟
نه. حالت testing از همین حالا گزارش می‌دهد، و mode none سیاست را خاموش می‌کند.
خلاصه
- MTA-STS (RFC 8461) الزام TLS را برای نامه‌هایی که به دامنه شما تحویل داده می‌شود اعمال می‌کند.
- راه‌اندازی: یک رکورد TXT در _mta-sts، یک فایل سیاست HTTPS در mta-sts.yourdomain/.well-known/mta-sts.txt و یک رکورد TXT در _smtp._tls برای TLS-RPT (RFC 8460).
- سیاست mode (enforce، testing، none)، میزبان‌های mx و max_age را فهرست می‌کند، حداکثر 31,557,600 ثانیه.
- تغییر مسیر نباید دنبال شود، پس URL forwarding نمی‌تواند فایل را سرو کند.
- هر بار که سیاست تغییر می‌کند id را عوض کنید؛ اول فایل را به‌روز کنید، سپس رکورد TXT را.
- با حالت testing شروع کنید و پیش از enforce گزارش‌های TLS-RPT را بخوانید.
- Postelva رکوردهای DNS را رایگان میزبانی می‌کند؛ یک .com هر سال $ 12.49/سال است.
منابع (4)
- RFC 8461، SMTP MTA Strict Transport Security (MTA-STS) — RFC Editor (خوانده‌شده در 2026-11-12)
- RFC 8460، SMTP TLS Reporting — RFC Editor (خوانده‌شده در 2026-11-12)
- دستورالعمل‌های فرستنده‌ی ایمیل — Google Workspace Admin Help (خوانده‌شده در 2026-11-12)
- دامنه‌ی سفارشی و ضد جعل — Proton (خوانده‌شده در 2026-11-12)