MTA-STS とは？

サーバー間配送でTLSと宛先確認を求める方針を公開する仕組みがMTA-STSだよ。受信ドメインが方針を用意し、対応する送信サーバーがそれを調べて配送するんだ。

DNSのTXTレコードで存在や更新を知らせ、決められたHTTPSの場所にポリシーを置くよ。受け取ってよいMXの名前、enforceやtestingなどのモード、キャッシュできるmax_ageを記載するんだ。

対応する送信側が有効な方針を適用していれば、TLSや証明書、MX名などの検証に失敗したとき、平文へ切り替えてそのまま配送しないよ。設定ミスで正規の配送も失敗し得るので、先にtestingで状況を確認する運用が考えられるね。

それだけでは届かないよ。配送の失敗状況を報告するTLSRPTは別の仕組みで、送信側の対応と受信ドメイン側の設定が必要なんだ。testingも、別の理由で失敗したメールまで必ず配送するという意味ではないよ。

守る範囲はサーバー間の配送だよ。保存された本文や受信者までのエンドツーエンド暗号化は別。最初の方針取得を妨害される可能性や非対応送信者も残る。有効期間内のキャッシュ済み方針は保護に役立つけれど、永続の保証ではないんだ。