← Cloudflare Email Service / email-service / configuration

Настройка MTA-STS

MTA Strict Transport Security (MTA-STS ↗) была введена поставщиками почтовых служб, включая Microsoft, Google и Yahoo, как решение для защиты от downgrade-атак и атак типа man-in-the-middle в SMTP-сессиях, а также для устранения нехватки ориентированных на безопасность стандартов связи в электронной почте.

Предположим, что example.com это ваш домен, использующий Email Service. Вот как включить для него MTA-STS.

1. На панели управления Cloudflare перейдите к разделу Записи страницу.

   Перейдите в Записи ↗

2. Создайте новую запись CNAME с именем _mta-sts который указывает на запись Cloudflare _mta-sts.mx.cloudflare.net. Обязательно отключите режим прокси.

   

3. Убедитесь, что запись создана:

   dig txt _mta-sts.example.com

   _mta-sts.example.com. 300 IN  CNAME _mta-sts.mx.cloudflare.net.
   _mta-sts.mx.cloudflare.net. 300 IN  TXT "v=STSv1; id=20230615T153000;"

   Это сообщает клиенту на другой стороне, пытающемуся подключиться к нам, что мы поддерживаем MTA-STS.

Далее вам понадобится конечная точка HTTPS по адресу mta-sts.example.com для предоставления файла политики. Этот файл определяет почтовые серверы домена, которые используют MTA-STS. Здесь применяется HTTPS, а не DNS, потому что DNSSEC пока используют не все, и это позволяет избежать ещё одного вектора атаки MITM.

Для этого нужно развернуть Worker, который позволяет почтовым клиентам получать файл политики Cloudflare Email Service по соглашению об URI "well-known".

1. Разверните прокси-Worker MTA-STS в своём аккаунте:

   

   Этот Worker проксирует https://mta-sts.mx.cloudflare.net/.well-known/mta-sts.txt на собственный домен.

2. После развертывания перейдите в настройки Worker, затем Настройки > Domains & Routes > +Add. Введите поддомен mta-sts.example.com.

   

   После этого можно проверить, что файл политики работает, с помощью следующей команды:

   curl https://mta-sts.example.com/.well-known/mta-sts.txt

   version: STSv1
   mode: enforce
   mx: *.mx.cloudflare.net
   max_age: 86400

   Это говорит о том, что ваш домен example.com применяет MTA-STS. Совместимые почтовые клиенты будут доставлять письма на этот домен только по защищённому соединению с указанными MX-серверами. Если защищённое соединение установить не удастся, письмо не будет доставлено.

Email Service также поддерживает MTA-STS для исходящих соединений, что значительно повышает безопасность при пересылке писем таким провайдерам, как Gmail, Microsoft и другим.

• Аутентификация электронной почты : справочник по SPF, DKIM и DMARC.
• Postmaster : сведения о TLS, ARC и SMTP для администраторов почтовых серверов.
• Настройка доменов : проверьте записи DNS вашего домена.