TLS暗号化を強制する
Webサーバーを運用せずに
MTA-STSは、特定のHTTPSエンドポイントでポリシーファイルをホストすることを要求します。DMARC Reportがあなたに代わってホストし、ダウングレード攻撃を防ぎ、あなたのドメインへの暗号化されたメール配信を確保します。
MTA-STSとは？
MTA-STS（Mail Transfer Agent Strict Transport Security）はRFC 8461で定義されています。あなたのドメインがTLSで暗号化された接続を要求すること、そして暗号化を確立できない場合はメールの配信を拒否すべきことを、送信メールサーバーに伝えます。任意のドメインのポリシーは、無料のMTA-STSチェッカーで確認できます。
MTA-STSがないと、メールは日和見的なTLSに依存します。送信サーバーは暗号化を試みますが、失敗すると黙って平文にフォールバックします。これにより、あなたのメールは中間者攻撃やダウングレード攻撃に対して脆弱になります。DMARCが誰がメッセージを送信したかを認証するのに対し、MTA-STSはそれがサーバー間をどのように移動するかを保護します。
- 受信メールに対するTLSダウングレード攻撃を防ぐ
- 送信サーバーにあなたのメールサーバー証明書の検証を要求する
- 補完的な暗号化標準としてDANEと並行して機能する
- Google、Microsoft、Yahoo、その他の主要プロバイダーに採用されている
ダウングレード攻撃はどのようにメールを盗むのか
MTA-STSがないと、中間者は接続からTLSを剥ぎ取り、メールを平文で移動させることができます。MTA-STSはこれを不可能にします。
送信者はTLSの確立を試みます。暗号化のネゴシエーションが成功すれば、メールは暗号化されて移動します。しかし何か問題が起きると、サーバーは黙って平文にフォールバックします。
攻撃者が接続を傍受し、STARTTLSコマンドを剥ぎ取ります。送信サーバーはTLSが利用できないと判断し、メールを平文で配信します。内容は完全に読み取り可能です。
送信サーバーは接続する前にあなたのMTA-STSポリシーを確認します。TLSを確立できない、または証明書が無効な場合、サーバーは配信を拒否します。メールが平文で送信されることは決してありません。
導入の各段階に対応する3つのモード
監視のためにtestingから始め、準備ができたらenforceに移行し、一時的にポリシーを無効にする必要がある場合はnoneを使用します。
TLSの失敗を報告しつつ、メールは引き続き配信します。MTA-STSを初めて導入するときにこのモードを使用すれば、メールをブロックせずに問題を特定できます。
TLSを確立できないメール接続を拒否します。受信サーバーは、暗号化されていないチャネル経由でのあなたのドメインへのメール配信を拒否します。
MTA-STSポリシーを無効にします。受信サーバーはポリシーファイルを無視し、日和見的（オポチュニスティック）なTLSの動作にフォールバックします。
MTA-STS導入への
3つのステップ
設定するWebサーバーも、管理する証明書も、維持するインフラもありません。あなたのドメインを追加すれば、あとは当社が対応します。
DMARC Reportにあなたのドメインを入力します。当社はMXレコードを自動的に検出し、あなたのメールインフラに合わせたMTA-STSポリシーファイルを生成します。
DMARC Reportは、有効なTLS証明書とともにポリシーファイルを https://mta-sts.yourdomain.com/.well-known/mta-sts.txt にホストします。あなたの側にWebサーバーは不要です。
ポリシーを有効化するために、_mta-sts.yourdomain.com に1つのTXTレコードを公開します。コピー＆ペーストするための正確なレコード内容を当社が生成します。
MTA-STSホスティングにすべて含まれるもの
ホスト型ポリシーファイル
当社が必要なHTTPSエンドポイントであなたのMTA-STSポリシーを配信します。あなたの側で維持するWebサーバー、証明書、インフラは不要です。
自動証明書
mta-stsサブドメイン用のTLS証明書は、自動的にプロビジョニングおよび更新されます。あなたの側のメンテナンスはゼロです。
ポリシーモードの切り替え
testing、enforce、noneの各モードをダッシュボードから切り替えられます。変更は即座に反映され、DNSの編集は不要です。
DNSレコードの生成
必要な _mta-sts TXTレコードを正確に生成します。あなたのDNSプロバイダーにコピー＆ペーストするだけで、フォーマットやバージョン管理について迷うことはありません。
監視ダッシュボード
ポリシーの取得アクティビティを追跡し、受信サーバーがあなたのMTA-STSポリシーを要求したタイミングを確認できます。メールフローに影響が出る前に設定ミスを検出します。
TLS-RPT統合
MTA-STSをTLS-RPTと組み合わせて、TLS接続が失敗したときにレポートを受け取れます。MTA-STSが適用し、TLS-RPTが報告します。
Shield以上でご利用いただけます
MTA-STSホスティングはShieldプラン（月額75ドル）およびすべての上位ティアに含まれています。追加料金も、MTA-STSのドメインごとの課金もありません。
TLS-RPT監視、パークドメイン保護、およびすべてのコアDMARC機能も含まれます。
セキュリティチームがDMARC Reportについて語ること
Rated 4.8/5 on G2 · 469 verified reviews
Verified User in Information Technology and Services
"Best security tool for your own domains"
The weekly reports help me a lot to analyze quickly the emails sent from my domains and that gives me peace of mind.
Ryan C.
Director
"Control Centre for Email Security"
I like that we can see and check all reports on just 1 platform. We manage multiple domains, and monitoring them all in one place is essential.
eddy g.
Director
"A great solution to a common email problem."
I have been using them for the last month after my Google business email started giving DMARC errors. I didn't even know what it meant at that time. After a little googling I found that people can spoof it as well. So far so good — the best thing is it protects every email.