คำตอบสั้น ๆ
ฉันจะตั้งค่า MTA-STS และ TLS-RPT อย่างไร
เผยแพร่ TXT ที่ _mta-sts.yourdomain พร้อม v=STSv1 และ id เผยแพร่ไฟล์นโยบายที่ https://mta-sts.yourdomain/.well-known/mta-sts.txt พร้อมใบรับรองที่ใช้ได้ และเพิ่ม TXT ที่ _smtp._tls สำหรับรายงาน TLS-RPT (RFC 8461 และ RFC 8460) Postelva โฮสต์ระเบียน DNS ส่วนไฟล์นโยบายต้องใช้เว็บโฮสต์ที่รองรับ HTTPS
ส่วนประกอบสี่อย่างของการตั้งค่า MTA-STS และ TLS-RPT
| ส่วนประกอบ | ที่ไหน | เนื้อหา | โฮสต์ที่ |
|---|---|---|---|
| ระเบียน MTA-STS | TXT ที่ _mta-sts.example.com | v=STSv1; id=20261112T000000Z | DNS ของคุณ (DNS ฟรีที่ Postelva) |
| ชื่อโฮสต์เว็บ | A, AAAA หรือ CNAME ที่ mta-sts.example.com | ชี้ไปยังเว็บเซิร์ฟเวอร์ | DNS ของคุณ |
| ไฟล์นโยบาย | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, บรรทัด mx, max_age | เว็บโฮสต์ที่รองรับ HTTPS พร้อมใบรับรองที่ใช้ได้ |
| ระเบียน TLS-RPT | TXT ที่ _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:[email protected] | DNS ของคุณ |
ตั้งค่า MTA-STS ในหกขั้นตอน
ระบุโฮสต์ MX ของคุณ
นโยบายต้องระบุโฮสต์เมลของผู้ให้บริการ Proton Mail ใช้ mail.protonmail.ch และ mailsec.protonmail.ch ส่วน Mailbox.org ใช้ mxext1 ถึง mxext4.mailbox.org
ตั้งค่าชื่อโฮสต์เว็บ
ในตัวแก้ไข DNS ให้เพิ่มระเบียนสำหรับ mta-sts ที่ชี้ไปยังเว็บเซิร์ฟเวอร์ที่คุณควบคุม และขอใบรับรองที่ใช้ได้สำหรับ mta-sts.yourdomain
เผยแพร่ไฟล์นโยบายในโหมดทดสอบ
สร้างไฟล์ mta-sts.txt ในโฟลเดอร์ .well-known โดยมี mode: testing และ max_age ที่สั้น
เพิ่ม TXT ที่ _mta-sts
เผยแพร่ v=STSv1; id= ตามด้วยค่าที่ไม่ซ้ำกัน เช่น วันที่และเวลา
เพิ่มระเบียน TLS-RPT
เผยแพร่ TXT ที่ _smtp._tls พร้อมที่อยู่ mailto สำหรับ rua และอ่านรายงานรายวัน
เปลี่ยนเป็น enforce
เมื่อรายงานไม่แสดงความล้มเหลวสำหรับโฮสต์ MX ของคุณ ให้เปลี่ยนโหมดเป็น enforce เพิ่ม max_age และอัปเดต id
; DNS records
_mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z"
_smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:[email protected]"
mta-sts.example.com. IN CNAME webhost.example.net.
; File served at https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.protonmail.ch
mx: mailsec.protonmail.ch
max_age: 86400MTA-STS ปกป้องอะไร
MTA-STS ช่วยให้โดเมนเมลประกาศว่ารองรับ TLS และให้ผู้ส่งปฏิเสธการส่งไปยังโฮสต์ MX ใดๆ ที่ไม่สามารถแสดงใบรับรองที่ใช้ได้ RFC 8461 ซึ่งเป็น Proposed Standard ลงวันที่กันยายน 2018 เป็นผู้กำหนดมาตรฐานนี้ หากไม่มีมัน การเข้ารหัสระหว่างเซิร์ฟเวอร์จะเป็นแบบ opportunistic: ผู้ส่งจะลอง STARTTLS และหากผู้โจมตีตัดมันออก ก็จะส่งข้อความเป็น clear text
เมื่อมีนโยบายในโหมด enforce ผู้ส่งที่รองรับ MTA-STS จะดึงนโยบายของคุณ ตรวจว่าโฮสต์ MX ปรากฏในรายการ mx และต้องมีการเชื่อมต่อ TLS ที่ใช้ได้พร้อมใบรับรองที่ตรงกัน หากการตรวจสอบใดล้มเหลว ข้อความจะรอและจะไม่ถูกส่งผ่านช่องทางที่อ่อนกว่า มันป้องกันเฉพาะเมลขาเข้า และใช้ได้เฉพาะกับผู้ส่งที่รองรับมันเท่านั้น มันไม่ยืนยันตัวตนของข้อความ งานนั้นเป็นของระเบียนในSPF กับ DKIM กับ DMARC
นโยบายไฟล์ประกอบด้วยอะไรบ้าง
ไฟล์นโยบายคือไฟล์ข้อความธรรมดาที่มีบรรทัดแบบ key: value ซึ่งระบุเวอร์ชัน โหมด รูปแบบ MX ที่อนุญาต และอายุการใช้งานเป็นวินาที RFC 8461 กำหนดฟิลด์เหล่านี้ version ต้องเป็น STSv1 mode เป็น enforce (ผู้ส่งต้องไม่ส่งไปยังโฮสต์ที่ไม่ผ่านการตรวจสอบ) testing (การส่งยังดำเนินต่อได้ และผู้ส่งที่รองรับ TLS-RPT จะส่งรายงานความล้มเหลว) หรือ none (เหมือนไม่มีนโยบาย) แต่ละบรรทัด mx ระบุชื่อโฮสต์แบบเต็ม เช่น mail.protonmail.ch หรือใช้ wildcard ที่ label ซ้ายสุด เช่น *.example.net max_age เป็นจำนวนวินาที สูงสุด 31,557,600 และ RFC ระบุว่าโดยทั่วไปควรเป็นสัปดาห์หรือมากกว่านั้น ตัวอย่างใน RFC ใช้ 604800 ซึ่งเท่ากับหนึ่งสัปดาห์
ไฟล์ต้องถูกให้บริการผ่าน HTTPS ที่ mta-sts.yourdomain โดยใบรับรองต้องใช้ได้กับชื่อนั้น มีเพียงคำตอบ HTTP 200 เท่านั้นที่นับ และต้องไม่ตามการ redirect ซึ่งตัดการใช้การส่งต่อ URL ที่ตอบด้วย redirect ไฟล์ควรส่งเป็น text/plain ใช้เว็บโฮสต์ขนาดเล็กหรือโฮสต์หน้าคงที่ที่คุณควบคุม บรรทัด mx ต้องตรงกับระเบียนของผู้ให้บริการตามที่ระบุในMX record คืออะไร
id และลำดับการอัปเดตคืออะไร
id ในระเบียน TXT คือป้ายกำกับความยาว 1 ถึง 32 ตัวอักษรและตัวเลข ซึ่งต้องเปลี่ยนทุกครั้งที่นโยบายเปลี่ยน เพื่อให้ผู้ส่งรู้ว่าต้องดึงไฟล์ใหม่ RFC 8461 ระบุว่า id ใช้ระบุหนึ่งอินสแตนซ์ของนโยบาย และไม่มีลำดับระหว่าง id ดังนั้นการใช้วันที่และเวลาจึงเหมาะมาก
อัปเดตตามลำดับนี้: เผยแพร่ไฟล์นโยบายใหม่ก่อน แล้วจึงเปลี่ยน id เพราะหากผู้ส่งเห็น id ใหม่ก่อนไฟล์ใหม่ มันจะแคชนโยบายเก่าอีกครั้ง เมื่อคุณเปลี่ยนผู้ให้บริการอีเมล โฮสต์ MX ก็จะเปลี่ยนด้วย ดังนั้นให้แก้บรรทัด mx ก่อนเปลี่ยนระเบียน MX คงโฮสต์เก่าไว้ในรายการระหว่างการย้าย และเปลี่ยน id ในโหมด enforce บรรทัด mx ที่ลืมไปจะทำให้เมลไม่มาถึง และคู่มือการย้ายวิธีย้ายอีเมลไปยังผู้ให้บริการใหม่ ให้ลำดับที่ปลอดภัยของขั้นตอนที่เหลือ
TLS-RPT คืออะไร และรายงานมีอะไรบ้าง
TLS-RPT คือรูปแบบรายงานตาม RFC 8460 ซึ่งเซิร์ฟเวอร์ผู้ส่งจะแจ้งคุณทุกวันว่าการเชื่อมต่อ TLS ไปยังโดเมนของคุณสำเร็จหรือล้มเหลวกี่ครั้ง คุณเผยแพร่ระเบียน TXT ที่ _smtp._tls.yourdomain พร้อม v=TLSRPTv1 และฟิลด์ rua ที่มีที่อยู่ mailto: หรือ https: รายงานแบบ mailto ต้องมีลายเซ็น DKIM ที่ถูกต้องจากโดเมนที่ส่งรายงาน
แต่ละรายงานเป็นเอกสาร JSON ที่ครอบคลุมหนึ่งวันตาม UTC ระบุนโยบายที่ใช้ (MTA-STS, DANE หรือ none) นับจำนวนเซสชันที่สำเร็จและล้มเหลว และให้ประเภทความล้มเหลว เช่น certificate-expired หรือ starttls-not-supported พร้อม IP ของผู้ส่งและผู้รับ นี่คือวิธีที่คุณรู้ว่าใบรับรองหมดอายุหรือบรรทัด mx มีการพิมพ์ผิด ก่อนที่คุณจะเปลี่ยนเป็น enforce ให้ถือว่าสัปดาห์แรกๆ เป็นการทดลองใช้ ตามที่แนะนำสำหรับDMARC
โดเมนอีเมลส่วนตัวต้องใช้ MTA-STS หรือไม่
ไม่จำเป็น MTA-STS เป็นการเสริมความปลอดภัยที่เลือกได้ และกฎของผู้ส่งจำนวนมากไม่ได้บังคับให้ใช้ Google, Yahoo และ Microsoft ขอให้ผู้ส่งจำนวนมากใช้ SPF, DKIM และ DMARC และไม่ได้ระบุ MTA-STS สำหรับโดเมนส่วนตัวที่ Proton Mail, Fastmail หรือ Mailbox.org การตั้งค่านี้คุ้มค่าก็ต่อเมื่อคุณยอมรับภาระในการดูแลเว็บโฮสต์และใบรับรอง
ผู้ให้บริการแตกต่างกัน จากการอ่านของ Postelva เมื่อ 12 พฤศจิกายน 2026 ของคู่มือการตั้งค่า DNS จาก 4 ผู้ให้บริการ (Proton Mail, Tuta, Mailbox.org และ Fastmail) มี 1 รายที่แสดงระเบียน MTA-STS ในการตั้งค่าของตนเอง (Tuta เป็น CNAME) ส่วนหน้าช่วยเหลือของอีกสามรายไม่ได้ระบุไว้ การตั้งค่าทั้งหมดคือระเบียน DNS 3 รายการและไฟล์ 1 ไฟล์ ตรวจสอบแต่ละรายการด้วยคำสั่งในวิธีตรวจสอบระเบียน MX, SPF, DKIM และ DMARC: dig TXT _mta-sts.example.com +short และ dig TXT _smtp._tls.example.com +short
คำนิยามที่อ้างอิงได้: MTA-STS คือนโยบายที่ทำให้ TLS บังคับเมื่อเซิร์ฟเวอร์อื่นส่งเมลมายังโดเมนของคุณ ส่วน TLS-RPT คือรายงานรายวันที่บอกคุณว่าเมื่อใดมันล้มเหลว
คำถามเกี่ยวกับ MTA-STS และ TLS-RPT
ฉันสามารถโฮสต์ไฟล์นโยบาย MTA-STS ที่ผู้ให้บริการ DNS ได้หรือไม่
ไม่ได้หากมี DNS อย่างเดียว ไฟล์ต้องมีเว็บเซิร์ฟเวอร์ที่ตอบผ่าน HTTPS ที่ mta-sts.yourdomain การส่งต่อ URL ใช้ไม่ได้ เพราะห้ามตาม redirect
ฉันควรใช้ max_age เท่าใด
RFC 8461 ระบุว่าค่านี้โดยทั่วไปอยู่ในช่วงตั้งแต่สัปดาห์ขึ้นไป โดยตัวอย่างใช้ 604800 วินาที (หนึ่งสัปดาห์) เริ่มด้วยค่าสั้นในโหมด testing และเพิ่มเมื่อรายงานสะอาดแล้ว
MTA-STS เหมือนกับ DANE หรือไม่
ไม่ ทั้งสองปกป้อง TLS ระหว่างเซิร์ฟเวอร์ แต่ DANE อาศัย DNSSEC และระเบียน TLSA ขณะที่ MTA-STS อาศัยไฟล์นโยบายผ่าน HTTPS TLS-RPT รายงานทั้งสองแบบ
หากใบรับรองของฉันหมดอายุในโหมด enforce จะเกิดอะไรขึ้น
ผู้ส่งที่รองรับ MTA-STS จะหยุดส่งไปยังโฮสต์ของคุณเมื่อใบรับรองของโฮสต์ MX ล้มเหลว และเมลจะรอในคิวของผู้ส่ง สิ่งเดียวกันนี้ใช้กับบรรทัด mx ที่หายไป ดังนั้นให้จับตาดู TLS-RPT
ฉันต้องใช้โหมด enforce หรือไม่
ไม่ โหมด testing ก็ให้รายงานแล้ว และโหมด none ปิดนโยบาย
สรุป
- MTA-STS (RFC 8461) ทำให้ TLS บังคับสำหรับเมลที่ส่งมายังโดเมนของคุณ
- การตั้งค่า: TXT ที่ _mta-sts, ไฟล์นโยบายผ่าน HTTPS ที่ mta-sts.yourdomain/.well-known/mta-sts.txt และ TXT ที่ _smtp._tls สำหรับ TLS-RPT (RFC 8460)
- นโยบายระบุ mode (enforce, testing, none), โฮสต์ mx และ max_age สูงสุด 31,557,600 วินาที
- ห้ามตาม redirect ดังนั้นการส่งต่อ URL จึงไม่สามารถให้บริการไฟล์ได้
- เปลี่ยน id ทุกครั้งที่นโยบายเปลี่ยน โดยอัปเดตไฟล์ก่อน แล้วจึงเปลี่ยนระเบียน TXT
- เริ่มในโหมด testing และอ่านรายงาน TLS-RPT ก่อนเปลี่ยนเป็น enforce
- Postelva โฮสต์ระเบียน DNS ให้ฟรี ส่วน .com มีค่าใช้จ่าย US$12.49/ปี ต่อปี
แหล่งที่มา (4)
- RFC 8461, SMTP MTA Strict Transport Security (MTA-STS) — RFC Editor (อ่านเมื่อ 2026-11-12)
- RFC 8460, SMTP TLS Reporting — RFC Editor (อ่านเมื่อ 2026-11-12)
- แนวทางผู้ส่งอีเมล — Google Workspace Admin Help (อ่านเมื่อ 2026-11-12)
- การป้องกันการปลอมแปลงและโดเมนแบบกำหนดเอง — Proton (อ่านเมื่อ 2026-11-12)