The Spark Team
Ваша. Розумна. Пошта.
Швидкий, кросплатформний поштовий клієнт, створений фільтрувати зайвий шум, щоб ви могли зосередитися на тому, що справді важливо.
Визначення
💡MTA-STS: налаштування, яке гарантує, що ваша електронна пошта завжди подорожує безпечним шляхом, через захищене, перевірене з'єднання, замість того, щоб іноді прослизати крізь незамкнені двері, які більшість людей навіть не думає перевіряти.
Навіщо існує MTA-STS
Насправді електронна пошта не обов'язково має подорожувати в зашифрованому вигляді. Зазвичай так і є. Але «зазвичай» залишає двері відчиненими.
Поштові сервери домовляються шифрувати з'єднання за допомогою чогось під назвою STARTTLS — по суті, це ввічливе прохання замкнути двері, перш ніж почати розмову. Здебільшого обидві сторони погоджуються. Але ця домовленість не є обов'язковою. Хтось, хто перебуває в мережі посередині (рідко, але не неможливо), може відмовити обидва сервери від блокування, і замість цього електронний лист прослизне незашифрованим.
MTA-STS закриває цю лазівку. По суті, ваш домен вивішує знак, який каже: доставляйте нам лише через замкнені двері, без винятків. Не можете перевірити замок? Тоді повідомлення взагалі не проходить.
І ось частина, яка насправді має значення для вас: ви ніколи не натискатимете на це в Gmail чи Outlook. Це налаштування, яке повністю живе за лаштунками, зазвичай його опрацьовує той, хто керує поштовим доменом компанії (IT, хостинг-провайдер, поштовий адміністратор). Ви не пропускаєте якусь кнопку у своїх налаштуваннях.
Що це насправді робить
Вам не потрібно розуміти DNS, щоб зрозуміти суть. За лаштунками відбуваються дві речі, і жодна з них вас не стосується.
По-перше, домен публікує примітку (технічно — невеликий файл), яка каже «завжди вимагайте захищеного з'єднання». По-друге, кожен сервер, що намагається доставити туди пошту, має спершу перевірити цю примітку. Не можете підтвердити, що замок справжній? Повідомлення затримується або позначається.
Ця суворість має назву: режим. Режим тестування лише спостерігає та повідомляє про те, що зазнало б невдачі, поки що нічого не блокуючи. Режим примусового застосування — це вже серйозно. Якщо там ви не пройдете перевірку, то електронний лист не дійде. Більшість доменів починають у режимі тестування, і не дарма. Якщо одразу перейти до примусового застосування, ви ризикуєте заблокувати справжні листи від сервера, який ще не встиг наздогнати.
Кому насправді варто про це турбуватися
Чесно? Майже нікому в повсякденному житті.
Якщо ви перевіряєте пошту через Gmail, Outlook або Spark на звичайній адресі, хтось інший уже подбає про це за вас. Вам нічого не потрібно робити.
Це стає вашою проблемою, лише якщо ви керуєте власним поштовим доменом — скажімо, ви власник малого бізнесу або керуєте IT у своїй компанії. У такому разі MTA-STS — одне з тих тихих, непримітних налаштувань, вартих п'ятихвилинної розмови з вашим хостинг-провайдером. Google Workspace і Microsoft 365 пропонують вбудовані інструменти для перевірки та ввімкнення цього, якщо ваш бізнес працює на будь-якій із цих платформ.
Налаштування простими словами
Якщо ви таки керуєте доменом, ось суть, без жаргону:
- Вашому домену потрібен невеликий файл налаштувань, опублікований публічно, зі списком ваших поштових серверів і рівнем суворості
- Ви додаєте короткий вказівник на цей файл у налаштуваннях DNS вашого домену
- Почніть у режимі тестування, щоб побачити, що зламалося б, перш ніж будь-що заблокується
- Коли все виглядатиме чисто, перейдіть у режим примусового застосування для справжнього захисту
- Оновлюйте його щоразу, коли змінюєте поштових провайдерів, інакше ризикуєте заблокувати власну пошту
Передати це тому, хто вже керує вашим доменом (хостинг-провайдеру, IT-спеціалісту, розробнику), зазвичай розумний хід. Це не проєкт на вихідні, і помилка може відхиляти справжню пошту, не пояснюючи чому.
Чому це варто мати
Це закриває справжню прогалину. Рідкісне не означає неможливе, і для всього, що стосується даних клієнтів чи фінансових деталей, цю прогалину варто закрити.
Проте це не єдиний ваш захист. MTA-STS захищає те, як повідомлення подорожує, а не те, хто його насправді надіслав. Вам усе одно потрібні DKIM і DMARC, щоб підтвердити, що відправник є тим, за кого себе видає.
Завжди починайте обережно. Режим тестування існує не дарма, і його пропуск — найпоширеніший спосіб, яким налаштування з добрими намірами випадково блокує пошту справжніх клієнтів.
Запитуйте, не здогадуйтесь. Якщо ви керуєте бізнес-доменом і не впевнені, чи це налаштовано, це одне швидке питання до того, хто хостить вашу пошту, а не дослідницький проєкт для вас.
Дозвольте провайдеру опрацювати це, коли можете. Якщо Gmail і Outlook уже покривають це зі свого боку, тут справді немає нічого, чого вам варто торкатися.