संक्षिप्त उत्तर
MTA-STS और TLS-RPT कैसे सेट करूँ?
_mta-sts.yourdomain पर v=STSv1 और एक id के साथ TXT रिकॉर्ड प्रकाशित करें, https://mta-sts.yourdomain/.well-known/mta-sts.txt पर वैध सर्टिफ़िकेट के साथ नीति फ़ाइल परोसें, और TLS-RPT रिपोर्ट के लिए _smtp._tls पर एक TXT रिकॉर्ड जोड़ें (RFC 8461 और RFC 8460)। Postelva DNS रिकॉर्ड होस्ट करता है; नीति फ़ाइल के लिए HTTPS वेब होस्ट चाहिए।
MTA-STS और TLS-RPT सेटअप के चार हिस्से
| हिस्सा | कहाँ | सामग्री | कहाँ होस्ट होता है |
|---|---|---|---|
| MTA-STS रिकॉर्ड | _mta-sts.example.com पर TXT | v=STSv1; id=20261112T000000Z | आपका DNS (Postelva पर मुफ़्त DNS) |
| वेब होस्ट नाम | mta-sts.example.com पर A, AAAA या CNAME | एक वेब सर्वर की ओर इंगित करता है | आपका DNS |
| नीति फ़ाइल | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, mx lines, max_age | HTTPS और वैध सर्टिफ़िकेट वाला वेब होस्ट |
| TLS-RPT रिकॉर्ड | _smtp._tls.example.com पर TXT | v=TLSRPTv1; rua=mailto:[email protected] | आपका DNS |
छह चरणों में MTA-STS सेट करें
अपने MX होस्ट सूचीबद्ध करें
नीति में आपके प्रदाता के मेल होस्ट होने चाहिए। Proton Mail mail.protonmail.ch और mailsec.protonmail.ch उपयोग करता है, Mailbox.org mxext1 से mxext4.mailbox.org उपयोग करता है।
वेब होस्ट नाम सेट करें
DNS संपादक में mta-sts के लिए एक रिकॉर्ड जोड़ें जो आपके नियंत्रण वाले वेब सर्वर की ओर इंगित करे, और mta-sts.yourdomain के लिए वैध सर्टिफ़िकेट प्राप्त करें।
परीक्षण मोड में नीति फ़ाइल प्रकाशित करें
फ़ोल्डर .well-known में फ़ाइल mta-sts.txt बनाएँ, जिसमें mode: testing और छोटा max_age हो।
_mta-sts TXT रिकॉर्ड जोड़ें
v=STSv1; id= प्रकाशित करें, उसके बाद एक अनूठा मान, जैसे तारीख और समय।
TLS-RPT रिकॉर्ड जोड़ें
_smtp._tls पर TXT रिकॉर्ड प्रकाशित करें जिसमें rua mailto पता हो, और रोज़ की रिपोर्ट पढ़ें।
enforce पर स्विच करें
जब रिपोर्ट आपके अपने MX होस्ट पर कोई विफलता न दिखाए, तब मोड को enforce पर बदलें, max_age बढ़ाएँ और id अपडेट करें।
; DNS records
_mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z"
_smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:[email protected]"
mta-sts.example.com. IN CNAME webhost.example.net.
; File served at https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.protonmail.ch
mx: mailsec.protonmail.ch
max_age: 86400MTA-STS क्या सुरक्षित करता है?
MTA-STS किसी मेल डोमेन को यह घोषित करने देता है कि वह TLS का समर्थन करता है, और भेजने वालों को उसके किसी भी MX होस्ट पर डिलीवरी रोकनी होगी जो वैध सर्टिफ़िकेट न दिखा सके। RFC 8461, जो सितंबर 2018 का प्रस्तावित मानक है, इसे परिभाषित करता है। इसके बिना, सर्वर-से-सर्वर एन्क्रिप्शन अवसरवादी है: भेजने वाला STARTTLS की कोशिश करता है, और यदि हमलावर उसे हटा दे, तो संदेश सादे पाठ में भेजा जाता है।
enforce मोड की नीति के साथ, MTA-STS समर्थन करने वाला भेजने वाला आपकी नीति लाता है, जाँचता है कि MX होस्ट mx सूची में है, और मिलते सर्टिफ़िकेट के साथ वैध TLS कनेक्शन माँगता है। कोई जाँच विफल हो तो संदेश रुकता है और कमज़ोर चैनल पर डिलीवर नहीं होता। यह केवल आने वाले मेल की रक्षा करता है, और केवल उन भेजने वालों के लिए काम करता है जो इसे लागू करते हैं। यह संदेशों को प्रमाणित नहीं करता: यह काम SPF vs DKIM vs DMARC के रिकॉर्ड का है।
नीति फ़ाइल में क्या जाता है?
नीति फ़ाइल सादे पाठ की फ़ाइल है जिसमें key: value पंक्तियाँ होती हैं: version, mode, अनुमत MX पैटर्न और सेकंड में जीवनकाल। RFC 8461 ये फ़ील्ड परिभाषित करता है। version STSv1 होना चाहिए। mode enforce है (भेजने वाले उन होस्ट पर डिलीवर नहीं करेंगे जो जाँच में विफल हों), testing (डिलीवरी आगे बढ़ सकती है, और TLS-RPT समर्थन वाले भेजने वाले विफलता रिपोर्ट भेजते हैं) या none (जैसे कोई नीति थी ही नहीं)। हर mx पंक्ति एक होस्ट का पूरा नाम लेती है, जैसे mail.protonmail.ch, या सबसे बाएँ लेबल पर वाइल्डकार्ड उपयोग करती है, जैसे *.example.net। max_age सेकंड में एक संख्या है, अधिकतम 31,557,600, और RFC कहता है कि यह आम तौर पर हफ़्तों या उससे अधिक होना चाहिए। उसके उदाहरण में 604800 है, यानी एक सप्ताह।
फ़ाइल mta-sts.yourdomain पर HTTPS से परोसी जानी चाहिए, उस नाम के लिए वैध सर्टिफ़िकेट के साथ। केवल HTTP 200 उत्तर मान्य है और रीडायरेक्ट का पालन नहीं होना चाहिए, इसलिए URL फ़ॉरवर्डिंग, यानी रीडायरेक्ट से उत्तर देने वाली सेवा, नहीं चलती। फ़ाइल text/plain के रूप में भेजी जानी चाहिए। कोई छोटा वेब होस्ट या स्टैटिक पेज होस्ट उपयोग करें जिसे आप नियंत्रित करते हों। mx पंक्तियाँ MX रिकॉर्ड क्या है में सूचीबद्ध आपके प्रदाता के रिकॉर्ड से मेल खानी चाहिए।
id और अपडेट का क्रम क्या है?
TXT रिकॉर्ड में id 1 से 32 अक्षरों और अंकों का लेबल है, जिसे हर बार बदलना होगा जब नीति बदले, ताकि भेजने वाले जानें कि फ़ाइल फिर से लानी है। RFC 8461 कहता है कि यह नीति के एक संस्करण की पहचान करता है, और id के बीच कोई क्रम नहीं होता, इसलिए दिनांक-समय की मुहर अच्छी तरह काम करती है।
इस क्रम में अपडेट करें: पहले नई नीति फ़ाइल प्रकाशित करें, फिर id बदलें। यदि भेजने वाला नई फ़ाइल से पहले नई id देखे, तो वह पुरानी नीति फिर कैश कर लेगा। जब आप ईमेल प्रदाता बदलते हैं, तो MX होस्ट भी बदल जाते हैं, इसलिए MX रिकॉर्ड बदलने से पहले mx पंक्तियाँ संपादित करें, स्थानांतरण के दौरान सूची में पुराने होस्ट रखें, और id बढ़ाएँ। enforce मोड में छूटी हुई mx पंक्ति मेल आना रोक देती है। बाकी का सुरक्षित क्रम ईमेल को नए प्रदाता पर कैसे ले जाएँ गाइड में है।
TLS-RPT क्या है और रिपोर्ट में क्या होता है?
TLS-RPT एक रिपोर्टिंग प्रारूप है, RFC 8460, जिसमें भेजने वाले सर्वर हर दिन बताते हैं कि आपके डोमेन के कितने TLS कनेक्शन सफल हुए या विफल हुए। आप _smtp._tls.yourdomain पर v=TLSRPTv1 वाला TXT रिकॉर्ड प्रकाशित करते हैं, और rua फ़ील्ड में mailto: या https: पता रखते हैं। mailto रिपोर्ट में रिपोर्ट भेजने वाले डोमेन का वैध DKIM हस्ताक्षर होना चाहिए।
हर रिपोर्ट एक UTC दिन को कवर करने वाला JSON दस्तावेज़ है। इसमें लागू नीति का नाम होता है (MTA-STS, DANE या none), सफल और विफल सत्र गिने जाते हैं, और विफलता का प्रकार दिया जाता है, जैसे certificate-expired या starttls-not-supported, भेजने और प्राप्त करने वाले IP पतों के साथ। enforce पर जाने से पहले इसी से पता चलता है कि सर्टिफ़िकेट की अवधि समाप्त हो गई है या mx पंक्ति में टाइपो है। पहले कुछ हफ़्तों को उस ट्रायल रन की तरह लें जिसकी DMARC के लिए सिफ़ारिश होती है।
क्या व्यक्तिगत ईमेल डोमेन के लिए MTA-STS चाहिए?
नहीं: MTA-STS वैकल्पिक सुरक्षा है, और बड़े भेजने वालों के नियम इसकी माँग नहीं करते। Google, Yahoo और Microsoft थोक भेजने वालों से SPF, DKIM और DMARC माँगते हैं और MTA-STS की सूची नहीं देते। Proton Mail, Fastmail या Mailbox.org पर किसी व्यक्तिगत डोमेन के लिए यह सेटअप तभी उचित है जब आप वेब होस्ट और सर्टिफ़िकेट का रखरखाव स्वीकार करें।
प्रदाता अलग-अलग हैं। Postelva ने 12 नवंबर 2026 को चार प्रदाताओं (Proton Mail, Tuta, Mailbox.org और Fastmail) की DNS सेटअप सूचियाँ पढ़ीं: 1 अपने सेटअप में MTA-STS रिकॉर्ड सूचीबद्ध करता है (Tuta, एक CNAME), और बाकी तीन के मदद-पृष्ठों में कोई उल्लेख नहीं है। पूरा सेटअप 3 DNS रिकॉर्ड और 1 फ़ाइल है। हर एक को MX, SPF, DKIM और DMARC रिकॉर्ड कैसे जाँचें में दिए कमांड से जाँचें: dig TXT _mta-sts.example.com +short और dig TXT _smtp._tls.example.com +short।
एक उद्धरण-योग्य परिभाषा: MTA-STS वह नीति है जो TLS को अनिवार्य बनाती है जब दूसरे सर्वर आपके डोमेन पर मेल डिलीवर करते हैं, और TLS-RPT वह दैनिक रिपोर्ट है जो बताती है कि यह कब विफल होता है।
MTA-STS और TLS-RPT के प्रश्न
क्या मैं MTA-STS नीति फ़ाइल अपने DNS प्रदाता पर होस्ट कर सकता हूँ?
अकेले DNS होस्ट पर नहीं: फ़ाइल को mta-sts.yourdomain पर HTTPS से उत्तर देने वाला वेब सर्वर चाहिए। URL फ़ॉरवर्डिंग काम नहीं करती, क्योंकि रीडायरेक्ट का पालन नहीं होना चाहिए।
max_age कितना रखूँ?
RFC 8461 के अनुसार यह मान आम तौर पर हफ़्तों से ऊपर होता है, और उसके उदाहरण में 604800 सेकंड (एक सप्ताह) है। testing मोड में छोटे मान से शुरू करें और रिपोर्ट साफ़ होने पर बढ़ाएँ।
क्या MTA-STS, DANE जैसा ही है?
नहीं। दोनों सर्वर-से-सर्वर TLS की रक्षा करते हैं, पर DANE DNSSEC और TLSA रिकॉर्ड पर निर्भर है, जबकि MTA-STS HTTPS नीति फ़ाइल पर। TLS-RPT दोनों की रिपोर्ट देता है।
enforce मोड में मेरा सर्टिफ़िकेट समाप्त हो जाए तो क्या होगा?
MTA-STS समर्थन करने वाले भेजने वाले आपके होस्ट पर डिलीवरी रोक देते हैं जब MX होस्ट का सर्टिफ़िकेट विफल हो, और मेल उनकी कतार में रुका रहता है। यही बात छूटी हुई mx पंक्ति पर लागू होती है, इसलिए TLS-RPT देखते रहें।
क्या मुझे enforce मोड उपयोग करना ज़रूरी है?
नहीं। testing मोड पहले से रिपोर्ट देता है, और mode none नीति बंद कर देता है।
सार
- MTA-STS (RFC 8461) आपके डोमेन पर पहुँचने वाले मेल के लिए TLS अनिवार्य बनाता है।
- सेटअप: _mta-sts पर TXT रिकॉर्ड, mta-sts.yourdomain/.well-known/mta-sts.txt पर HTTPS नीति फ़ाइल, और TLS-RPT के लिए _smtp._tls पर TXT रिकॉर्ड (RFC 8460)।
- नीति में mode (enforce, testing, none), mx होस्ट और max_age होते हैं, जो अधिकतम 31,557,600 सेकंड हो सकता है।
- रीडायरेक्ट का पालन नहीं होना चाहिए, इसलिए URL फ़ॉरवर्डिंग फ़ाइल नहीं परोस सकती।
- हर बार नीति बदलने पर id बदलें; पहले फ़ाइल अपडेट करें, फिर TXT रिकॉर्ड।
- testing मोड से शुरू करें और enforce से पहले TLS-RPT रिपोर्ट पढ़ें।
- Postelva DNS रिकॉर्ड मुफ़्त में होस्ट करता है; एक .com का खर्च हर साल $12.49/साल है।
स्रोत (4)
- RFC 8461, SMTP MTA Strict Transport Security (MTA-STS) — RFC Editor (पढ़ा गया 2026-11-12)
- RFC 8460, SMTP TLS Reporting — RFC Editor (पढ़ा गया 2026-11-12)
- ईमेल भेजने वालों के दिशानिर्देश — Google Workspace Admin Help (पढ़ा गया 2026-11-12)
- कस्टम डोमेन और स्पूफ़िंग से बचाव — Proton (पढ़ा गया 2026-11-12)