اپنے ڈومین کے لیے MTA-STS اور TLS-RPT کیسے ترتیب دوں؟

MTA-STS کیا تحفظ دیتا ہے؟

MTA-STS ایک میل ڈومین کو اعلان کرنے دیتا ہے کہ وہ TLS کو سپورٹ کرتا ہے، اور بھیجنے والوں کو لازم ہے کہ جو MX ہوسٹ درست certificate پیش نہ کر سکے اس پر ڈیلیوری سے انکار کریں۔ RFC 8461 اسے متعین کرتا ہے، جو ستمبر 2018 کا Proposed Standard ہے۔ اس کے بغیر سرور سے سرور انکرپشن opportunistic ہوتی ہے: بھیجنے والا STARTTLS آزماتا ہے اور اگر حملہ آور اسے ہٹا دے تو پیغام سادہ متن میں بھیج دیتا ہے۔

enforce موڈ کی پالیسی کے ساتھ MTA-STS کو سپورٹ کرنے والا بھیجنے والا آپ کی پالیسی حاصل کرتا ہے، جانچتا ہے کہ MX ہوسٹ mx فہرست میں ہے، اور ایسے TLS کنکشن کا تقاضا کرتا ہے جس کا certificate میل کھائے۔ کوئی جانچ ناکام ہو تو پیغام رکا رہتا ہے اور کمزور چینل پر ڈیلیور نہیں ہوتا۔ یہ صرف آنے والے میل کی حفاظت کرتا ہے، اور صرف ان بھیجنے والوں کے لیے کام کرتا ہے جو اسے نافذ کرتے ہیں۔ یہ پیغامات کو مستند نہیں کرتا: یہ کام SPF بمقابلہ DKIM بمقابلہ DMARC کے ریکارڈز کا ہے۔

پالیسی فائل میں کیا ہوتا ہے؟

پالیسی فائل key: value لائنوں کی سادہ متنی فائل ہے، جس میں version، mode، اجازت یافتہ MX patterns اور سیکنڈوں میں مدتِ زندگی ہوتی ہے۔ RFC 8461 یہ فیلڈز متعین کرتا ہے۔ version لازماً STSv1 ہو۔ mode یا enforce ہے (بھیجنے والے ایسے ہوسٹس پر ڈیلیور نہ کریں جو جانچ میں ناکام ہوں)، یا testing ہے (ڈیلیوری جاری رہ سکتی ہے، اور TLS-RPT کو سپورٹ کرنے والے بھیجنے والے ناکامی کی رپورٹ بھیجتے ہیں)، یا none ہے (گویا کوئی پالیسی ہی نہیں)۔ ہر mx لائن پورا ہوسٹ نام دیتی ہے، مثلاً mail.protonmail.ch، یا بائیں سب سے آخری label پر wildcard استعمال کرتی ہے، جیسے *.example.net۔ max_age سیکنڈوں کی تعداد ہے، زیادہ سے زیادہ 31,557,600، اور RFC کہتا ہے کہ یہ عام طور پر ہفتوں یا اس سے زیادہ ہونا چاہیے۔ اس کی مثال میں 604800 ہے، یعنی ایک ہفتہ۔

فائل کو HTTPS پر mta-sts.yourdomain کے لیے اس نام کے درست certificate کے ساتھ دینا ضروری ہے۔ صرف HTTP 200 جواب شمار ہوتا ہے اور redirects کی پیروی نہیں ہونی چاہیے، یوں URL forwarding، یعنی redirect دینے والی سروس، نکل جاتی ہے۔ فائل text/plain کے طور پر بھیجی جانی چاہیے۔ ایک چھوٹا ویب ہوسٹ یا static page ہوسٹ استعمال کریں جو آپ کے کنٹرول میں ہو۔ mx لائنیں آپ کے فراہم کنندہ کے ریکارڈز سے ملنی چاہئیں، جیسا کہ MX ریکارڈ کیا ہے میں درج ہے۔

id اور اپ ڈیٹ کی ترتیب کیا ہے؟

ٹی ایکس ٹی ریکارڈ میں id ایک label ہے جو 1 تا 32 حروف اور ہندسوں پر مشتمل ہے، اور پالیسی بدلنے پر اسے بھی بدلنا ہوتا ہے تاکہ بھیجنے والے جان لیں کہ فائل دوبارہ لانی ہے۔ RFC 8461 کہتا ہے کہ یہ پالیسی کے ایک instance کی شناخت کرتا ہے اور ids کے درمیان کوئی ترتیب نہیں، اس لیے تاریخ اور وقت کی مہر خوب کام کرتی ہے۔

اپ ڈیٹ اس ترتیب سے کریں: پہلے نئی پالیسی فائل شائع کریں، پھر id بدلیں۔ اگر بھیجنے والا نیا id نئی فائل سے پہلے دیکھ لے تو وہ پرانی پالیسی دوبارہ cache کر لے گا۔ جب آپ ای میل فراہم کنندہ بدلتے ہیں تو MX ہوسٹس بھی بدل جاتے ہیں، اس لیے MX ریکارڈ بدلنے سے پہلے mx لائنیں بدلیں، منتقلی کے دوران پرانے ہوسٹس فہرست میں رکھیں، اور id بڑھائیں۔ enforce موڈ میں بھولی ہوئی mx لائن میل کو پہنچنے سے روک دیتی ہے، اور باقی کی درست ترتیب کے لیے ای میل نئے فراہم کنندہ کو کیسے منتقل کریں کی گائیڈ دیکھیں۔

TLS-RPT کیا ہے اور رپورٹس میں کیا ہوتا ہے؟

TLS-RPT ایک رپورٹنگ فارمیٹ ہے، RFC 8460، جس میں بھیجنے والے سرورز ہر روز بتاتے ہیں کہ آپ کے ڈومین کے کتنے TLS کنکشن کامیاب یا ناکام ہوئے۔ آپ _smtp._tls.yourdomain پر TXT ریکارڈ شائع کرتے ہیں جس میں v=TLSRPTv1 اور ایک rua فیلڈ ہو، جس میں mailto: یا https: پتہ ہو۔ mailto رپورٹس پر رپورٹ کرنے والے ڈومین کی درست DKIM دستخط ہونی چاہیے۔

ہر رپورٹ ایک JSON دستاویز ہے جو UTC کے ایک دن کا احاطہ کرتی ہے۔ اس میں لاگو پالیسی (MTA-STS، DANE یا none) کا نام ہوتا ہے، کامیاب اور ناکام سیشنز کی گنتی ہوتی ہے، اور ناکامی کی قسم دی جاتی ہے، جیسے certificate-expired یا starttls-not-supported، بھیجنے اور وصول کرنے والے IP پتوں کے ساتھ۔ اسی سے پتہ چلتا ہے کہ certificate ختم ہو گیا یا کسی mx لائن میں غلطی ہے، enforce پر جانے سے پہلے۔ پہلے چند ہفتوں کو DMARC کے لیے تجویز کردہ آزمائشی دور سمجھیں۔

کیا ذاتی ای میل ڈومین کے لیے MTA-STS چاہیے؟

نہیں: MTA-STS ایک اختیاری مضبوطی ہے، اور بڑے بھیجنے والوں کے اصول اسے لازم نہیں کرتے۔ Google، Yahoo اور Microsoft بلک بھیجنے والوں سے SPF، DKIM اور DMARC مانگتے ہیں اور MTA-STS کا ذکر نہیں کرتے۔ ذاتی ڈومین کے لیے Proton Mail، Fastmail یا Mailbox.org پر یہ ترتیب صرف اسی وقت قابل قدر ہے جب آپ ویب ہوسٹ اور certificate کی دیکھ بھال قبول کریں۔

فراہم کنندگان مختلف ہیں۔ Postelva کی 12 نومبر 2026 کی پڑھت کے مطابق، 4 فراہم کنندگان (Proton Mail، Tuta، Mailbox.org اور Fastmail) کی DNS ترتیب کی فہرستوں میں سے 1 اپنی ترتیب میں MTA-STS ریکارڈ دیتا ہے (Tuta، ایک CNAME)، اور باقی تین کے مدد کے صفحات میں کچھ درج نہیں۔ پوری ترتیب 3 DNS ریکارڈ اور 1 فائل ہے۔ ہر ایک کی جانچ MX، SPF، DKIM اور DMARC ریکارڈ کیسے جانچیں کے کمانڈز سے کریں: dig TXT _mta-sts.example.com +short اور dig TXT _smtp._tls.example.com +short۔

قابلِ حوالہ تعریف: MTA-STS وہ پالیسی ہے جو دوسرے سرورز کے آپ کے ڈومین پر میل ڈیلیور کرتے وقت TLS کو لازمی بناتی ہے، اور TLS-RPT وہ روزانہ رپورٹ ہے جو بتاتی ہے کہ یہ کب ناکام ہوتا ہے۔