← Cloudflare Email Service / email-service / configuration

Konfigurace MTA-STS

MTA Strict Transport Security (MTA-STS ↗) zavedli poskytovatelé e-mailových služeb, včetně společností Microsoft, Google a Yahoo, jako ochranu proti downgrade útokům a útokům typu man-in-the-middle v SMTP relacích. Řešili tak i chybějící bezpečnostní standardy komunikace v e-mailu.

Předpokládejme, že example.com je vaše doména a používá Email Service. Zde je návod, jak pro ni povolit MTA-STS.

1. V dashboardu Cloudflare přejděte na Záznamy stránce.

   Přejděte na Záznamy ↗

2. Vytvořte nový záznam CNAME s názvem _mta-sts která ukazuje na záznam Cloudflare _mta-sts.mx.cloudflare.net. Nezapomeňte vypnout proxy režim.

   

3. Ověřte, že byl záznam vytvořen:

   dig txt _mta-sts.example.com

   _mta-sts.example.com. 300 IN  CNAME _mta-sts.mx.cloudflare.net.
   _mta-sts.mx.cloudflare.net. 300 IN  TXT "v=STSv1; id=20230615T153000;"

   Tím dáváme klientovi na druhé straně, který se k nám pokouší připojit, najevo, že podporujeme MTA-STS.

Dále budete potřebovat koncový bod HTTPS na adrese mta-sts.example.com k poskytování souboru zásad. Tento soubor definuje poštovní servery v doméně, které používají MTA-STS. Protokol HTTPS se zde používá místo DNS proto, že DNSSEC ještě nepoužívá každý, takže se tím vyhneme dalšímu vektoru útoku typu MITM.

Za tímto účelem musíte nasadit Worker, který e-mailovým klientům umožní stáhnout soubor zásad Cloudflare Email Service pomocí konvence URI „well-known“.

1. Nasaďte proxy Worker pro MTA-STS do svého účtu:

   

   Tento Worker slouží jako proxy pro https://mta-sts.mx.cloudflare.net/.well-known/mta-sts.txt do vlastní domény.

2. Po nasazení přejděte do konfigurace Workeru a poté Nastavení > Domains & Routes > +Add. Zadejte subdoménu mta-sts.example.com.

   

   Poté můžete pomocí následujícího ověřit, že váš soubor zásad funguje:

   curl https://mta-sts.example.com/.well-known/mta-sts.txt

   version: STSv1
   mode: enforce
   mx: *.mx.cloudflare.net
   max_age: 86400

   Toto říká, že vaše doména example.com vynucuje MTA-STS. E-mailoví klienti, kteří tuto funkci podporují, budou e-maily do této domény doručovat pouze přes zabezpečené připojení k zadaným MX serverům. Pokud se nepodaří zabezpečené připojení navázat, e-mail se nedoručí.

Email Service navíc podporuje MTA-STS na výstupu, což výrazně zvyšuje zabezpečení při předávání e-mailů poskytovatelům služeb, jako jsou Gmail, Microsoft a další.

• Ověřování e-mailů : Referenční informace k SPF, DKIM a DMARC.
• Postmaster : Podrobnosti o TLS, ARC a SMTP pro správce poštovních serverů.
• Konfigurace domény : přehled DNS záznamů vaší domény.