MTA-STSに対応するためのMDaemon設定

SMTP MTA Strict Transport Security (MTA-STS) は、送信SMTPサーバーが、TLS対応していないMXサーバーへの配信を拒否するかどうかを指定するのにも使用されます。

MDaemonでMTA-STSを使用するにはいくつか条件があります。

SSL, STARTTLS, STLSが有効化されていること
対象ドメインで信頼できる認証局から発行された証明書を使用していること
Windows serverがTLS 1.2又は1.3に対応していること


ドメインでMTA-STSを有効にするには、MTA-STSのポリシーファイルが次のURLでダウンロードできる必要があります。
(company.testの部分が実際のドメインとなります。）


https://mta-sts.company.test/.well-known/mta-sts.txt

1. DNSサーバーで、まずはAレコードを追加します。
   

   mta-stsを名前として、MDaemonサーバーのIPアドレスを値としてください。

2. 次にTXTレコードを追加します。

   v=STSv1; id=20220408T010101;
   id=の部分には、任意のバージョン情報が入り、通常、タイムスタンプ（年月日時分秒）が使われます。
   ポリシーファイルを更新するたびに、こちらのidを更新してください。

3. 証明書の作成/更新

   MDaemonで使用している証明書へmta-sts.company.testをホストの別名として追加してください。

4. ポリシーファイルの作成

   テキストエディタでmta-sts.txtというポリシーファイルを作成します。
   内容は次の通りです。
   
   version: STSv1
   mode: testing
   mx: mail.company.test
   max_age: 86400
   
   
   mode: には none、testing、enforce のいずれかを指定できます。
none：送信サーバーは MTA-STS ポリシーが存在しないものとして扱います。
   　　testing：MTA-STS 検証に失敗しても、メッセージは配信される可能性があります。
   　　enforce：MX の不一致や証明書の検証に失敗した場合、STARTTLS未対応の場合は配信を行いません。
   　　
   mx: には、メールサーバーを1行づつ個別に記載するか、ワイルドカード（例：*.company.test） を使います。
   
   max_age は 秒単位で指定し、通常は86400又は604800です。