كيف تضبط MTA-STS لنطاقك

يفرض MTA-STS (Mail Transfer Agent Strict Transport Security) تشفير TLS للبريد المُسلَّم إلى نطاقك. ومن دونه، لا تُلزَم خوادم البريد التي تسلّم الرسائل إليك باستخدام TLS — مما يجعل اعتراضها ممكنًا. إليك كيف تُعدّه.

ماذا تعني هذه النتيجة

عندما يسلّم خادم بريد آخر رسالة إلى نطاقك، يمكنه أن يختار استخدام TLS (نقل مشفّر) أو عدم استخدامه. ومن دون MTA-STS، لا شيء يفرض التشفير — ويمكن لمهاجم في موقع يتيح له اعتراض حركة SMTP أن يقرأ الرسائل الواردة أو يعبث بها.

ينشر MTA-STS سياسةً (عبر الجمع بين سجل DNS وملف مستضاف على الويب) تُلزم خوادم البريد المرسِلة باستخدام TLS دائمًا والتحقق من شهادة خادم البريد لديك.

لماذا يهم ذلك

• يمنع اعتراض البريد الوارد عبر هجمات خفض مستوى SMTP
• يكمّل DMARC/SPF/DKIM — التي تحمي مصادقة البريد الصادر، لا نقل البريد الوارد
• يُتوقَّع بشكل متزايد بوصفه جزءًا من وضع متكامل لأمان البريد الإلكتروني
• تفحصه أدوات أمان النطاقات وعمليات التدقيق وفق المادة ٣٢ من GDPR

كيف تضبط MTA-STS — خطوة بخطوة

يتطلب MTA-STS أمرين: ملف سياسة مستضافًا على خادم الويب لديك، وسجل DNS من نوع TXT.

الخطوة 1: أنشئ ملف سياسة MTA-STS

أنشئ ملفًا بالمحتوى التالي. واستبدل قيمة mx: باسم (أو أسماء) مضيف MX الفعلي لديك:

version: STSv1
mode: enforce
mx: mail.protection.outlook.com
max_age: 86400

إذا كانت لديك عدة سجلات MX، فأضف سطر mx: لكل مضيف:

version: STSv1
mode: enforce
mx: mail.protection.outlook.com
mx: mail2.yourdomain.com
max_age: 86400

• enforce — يجب أن تستخدم خوادم البريد TLS وإلا رُفضت الرسالة
• testing — يُبلَّغ عن المخالفات لكن الرسالة تُسلَّم (استخدم هذا أولًا إن لم تكن متأكدًا)
• none — السياسة معطّلة

الخطوة 2: استضِف ملف السياسة

يجب أن يكون الملف متاحًا على العنوان:

https://mta-sts.yourdomain.com/.well-known/mta-sts.txt

يتطلب ذلك نطاقًا فرعيًا mta-sts.yourdomain.com يشير إلى خادم ويب يقدّم هذا الملف عبر HTTPS بشهادة TLS صالحة.

الخطوة 3: انشر سجل DNS من نوع TXT

أضف سجل TXT على _mta-sts.yourdomain.com:

v=STSv1; id=20260401000000

قيمة id= معرّف لإصدار السياسة — ويجب أن تتغير كلما حدّثت ملف السياسة. استخدم طابعًا زمنيًا بصيغة YYYYMMDDHHMMSS.

الخطوة 4: أضف TLSRPT (اختياري)

أضف سجل TXT على _smtp._tls.yourdomain.com لتلقي تقارير مخالفات MTA-STS:

v=TLSRPTv1; rua=mailto:tlsrpt@yourdomain.com

تحقق من نجاح الإجراء

افحص نطاقك على mydomainrisk.com — ستظهر نتيجة MTA-STS على أنها عولجت فور رصد سجل DNS وملف السياسة. وإضافة سجل تقارير _smtp._tls توفر دليلًا إضافيًا مفيدًا على وضع أمان البريد.