ตัวสร้างนโยบาย MTA-STS
เครื่องมือสร้าง MTA-STS policy ออนไลน์ฟรี สร้าง artifact สำหรับ deploy SMTP MTA Strict Transport Security ตาม RFC 8461 ทั้ง DNS TXT record v=STSv1 ที่
Loading tool...
ตัวสร้างนโยบาย MTA-STS คืออะไร?
เครื่องมือสร้าง MTA-STS policy ช่วยสร้าง artifact ทั้งสองที่ RFC 8461 (SMTP MTA Strict Transport Security) กำหนด: DNS TXT record ที่ _mta-sts.yourdomain.com ซึ่งมี version STSv1, policy ID และ mode รวมถึงไฟล์ HTTPS policy ที่เสิร์ฟที่ https://mta-sts.yourdomain.com/.well-known/mta-sts.txt ซึ่งระบุ MX patterns ที่อนุญาตและ max_age ทั้งหมดนี้บอก mail server ผู้ส่งให้เรียกใช้ STARTTLS และส่งไปยัง MX host ที่คุณระบุเท่านั้น ช่วยป้องกันการโจมตีแบบ downgrade และการดักฟัง
ประโยชน์หลัก
- สร้าง artifact ทั้งสองพร้อมกันเพื่อให้ DNS id ตรงกับไฟล์ policy เสมอ
- ป้องกันการตัด STARTTLS และการดักฟังผ่าน MX ปลอมเมื่อเปิด mode: enforce
- โหมด testing ช่วยให้เปิดใช้ทีละขั้นโดยไม่เสี่ยงต่ออีเมลที่ถูกต้อง
- Validation แบบเรียลไทม์จับโดเมนผิดรูปแบบ, MX pattern ไม่ถูกต้อง และ max_age เกินขอบเขตก่อนเผยแพร่
กรณีการใช้งาน
- •เพิ่มความปลอดภัยให้โดเมนอีเมลธุรกิจจากการโจมตี SMTP downgrade
- •เสริม SPF, DKIM และ DMARC ใน email authentication stack แบบครบวงจร
- •เพิ่มหรือถอด mail server อย่างปลอดภัยด้วยการเปลี่ยน id และปรับ mode เป็นขั้นตอน
- •ตรวจสอบ MTA-STS deployment ที่มีอยู่และสร้าง policy ใหม่หลังเปลี่ยน infrastructure
วิธีสร้าง policy ของ MTA-STS
- กรอกโดเมนและเลือก mode: ใส่โดเมนของคุณ (policy id จะเติมอัตโนมัติเป็น timestamp UTC) แล้วเลือก mode — เริ่มจาก testing เพื่อเก็บรายงาน แล้วเปลี่ยนเป็น enforce เมื่อ MX ทุกตัวผ่านการตรวจ TLS
- ใส่รายการ MX pattern: ใส่ hostname pattern บรรทัดละหนึ่ง เช่น .mail.example.com (จุดนำหน้าครอบคลุม subdomain) หรือ mail.example.com บรรทัดที่ไม่ถูกต้องจะถูกแจ้งเตือนและแสดงเป็นชิป
- ปรับตัวเลือกของ policy: ตั้ง max_age เป็นวินาที (86400 เป็นค่าเริ่มที่ดี สูงสุด 31557600) และเปิดช่อง include DNS record ไว้เพื่อให้ TXT record ที่ _mta-sts แสดงเหนือไฟล์ policy
- ติดตั้งทั้งสองส่วน: คัดลอก TXT record ไปใส่ DNS ที่ _mta-sts.<domain> และเสิร์ฟไฟล์ policy ที่ https://mta-sts.<domain>/.well-known/mta-sts.txt ผ่าน HTTPS หรือกด Download รับไฟล์ mta-sts-policy.txt ที่รวมทั้งสองส่วน
คุณสมบัติหลัก
- สร้าง artifact ทั้งสองในไม่กี่คลิก: DNS TXT record v=STSv1 และไฟล์ policy .well-known/mta-sts.txt
- รองรับทั้งสามโหมดของ RFC 8461 - enforce, testing และ none - พร้อม banner เตือนโหมด testing
- รายการ MX pattern พร้อม validation chip แบบเรียลไทม์ที่ชี้ hostname ที่ไม่มีจุดหรือมีตัวอักษรไม่ถูกต้อง
- สร้าง policy ID แบบ timestamp (YYYYMMDDHHMMSS) อัตโนมัติ แก้เองได้ พร้อมตรวจ 1-32 ตัวอักษร
- ตรวจ max_age เทียบขีดจำกัด RFC ที่ 31557600 วินาที พร้อมคำแนะนำเรื่อง trade-off ของการ refresh cache
- คัดลอกแต่ละ artifact ได้คลิกเดียว ดาวน์โหลดรวม และแสดงตำแหน่ง publish ที่แน่นอน
คำถามที่พบบ่อย
การติดตั้ง MTA-STS ต้องมีองค์ประกอบอะไรบ้าง
ต้องมี DNS TXT record ที่ _mta-sts.domain ซึ่งมี v=STSv1; id=...; mode=... และไฟล์ policy ที่เสิร์ฟผ่าน HTTPS ที่ https://mta-sts.domain/.well-known/mta-sts.txt โดยใช้ id เดียวกัน เครื่องมือสร้างทั้งสองส่วนและรวมไว้ในไฟล์ดาวน์โหลดเดียว
ควรเลือก mode แบบไหน enforce, testing หรือ none
เริ่มจาก testing เพื่อเก็บรายงานความล้มเหลวโดยไม่กระทบการส่งเมล แล้วสลับเป็น enforce เมื่อ MX ทุกตัวมีใบรับรอง TLS ถูกต้อง ส่วน none คือปิด policy ทุกครั้งที่แก้ policy ต้องเปลี่ยน id ทั้งสองที่เพื่อให้ผู้ส่งดึงค่าใหม่
ควรใส่ MX pattern แบบไหน
ใส่ hostname pattern ทุกตัวที่รับเมลของโดเมนได้ บรรทัดละหนึ่ง เช่น .mail.example.com (จุดนำหน้าหมายถึงรวม subdomain) หรือ mail.example.com เมื่อใช้ enforce host ที่ไม่อยู่ในรายการจะไม่ผ่านการตรวจ TLS policy ของเซิร์ฟเวอร์ผู้ส่ง
max_age ควบคุมอะไร
คือระยะเวลาเป็นวินาที (สูงสุด 31557600) ที่ผู้ส่งเก็บ policy ของคุณไว้ในแคชก่อนดึงใหม่ ค่า 86400 (หนึ่งวัน) เป็นจุดเริ่มที่เหมาะสม และการแก้ max_age จะไม่มีผลจนกว่า id ใน DNS จะเปลี่ยนด้วย ทุกอย่างสร้างในเบราว์เซอร์ของคุณ