hmLoadTopic({
hmKeywords:"SSL и TLS,SSL и TLS Список STARTTLS,Список STARTTLS,Обязательный список STARTTLS",
hmTitle:"Расширения SMTP",
hmDescription:"Расширения SMTP Включить REQUIRETLS (RFC 8689) RequireTLS позволяет помечать сообщения, которые должны быть отправлены с помощью TLS. Если TLS невозможен (например, если параме",
hmPrevLink:"ssl_starttls-required-list.html",
hmNextLink:"ssl_dnssec.html",
hmParentLink:"ssl__certificates.html",
hmBreadCrumbs:"<a href=\"security_menu.html\">Меню &quot;Безопасность&quot;<\/a> &gt; Менеджер безопасности &gt; <a href=\"ssl__certificates.html\">SSL и TLS<\/a>",
hmTitlePath:"Меню \"Безопасность\" > Менеджер безопасности > SSL и TLS > Расширения SMTP",
hmHeader:"<h1 class=\"p_Heading1\" style=\"page-break-after: avoid;\"><span class=\"f_Heading1\">Расширения SMTP<\/span><\/h1>\n\r",
hmBody:"<p class=\"p_BodyText_Center\"><img style=\"margin:0 auto 0 auto;width:32.5000rem;height:24.5000rem;border:none\" src=\".\/images\/ssl-tls_smtp_extensions.png\"\/><\/p>\n\r<p class=\"p_DialogSectionHeading\" style=\"page-break-after: avoid;\"><span class=\"f_DialogSectionHeading\">Расширения SMTP<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">Включить REQUIRETLS (RFC 8689)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS позволяет помечать сообщения, которые <\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">должны<\/span><span class=\"f_ControlIndent\"> быть отправлены с помощью TLS. Если TLS невозможен (например, если параметры обмена сертификатами TLS неприемлемы), сообщения будут не доставляться небезопасным способом, а отклоняться. Полное описание RequireTLS см.:<a href=\"https:\/\/tools.ietf.org\/html\/rfc8689\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8689: SMTP Require TLS Option<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS включен по умолчанию. При этом единственными сообщениями, которые контролируются процессом RequireTLS, являются сообщения, специально помеченные правилом фильтра содержимого с использованием нового<a href=\"cf_creating_a_new_content_filter_rule.html\" class=\"topiclink\">Действие фильтра содержимого<\/a>, &quot;<\/span><span class=\"f_ControlIndent\" style=\"font-style: italic;\">Flag message for REQUIRETLS...<\/span><span class=\"f_ControlIndent\">&quot;, или сообщения, отправленные на<\/span><span class=\"f_PlainText\">&lt;local-part&gt;+requiretls@domain.tld<\/span><span class=\"f_ControlIndent\"> (например,<\/span><span class=\"f_PlainText\">arvel+requiretls@mdaemon.com<\/span><span class=\"f_ControlIndent\">). Все остальные сообщения обрабатываются так, как будто эта служба отключена. Для отправки сообщения с использованием RequireTLS необходимо выполнить несколько требований. Если какое-либо из таких требований выполнено не будет, сообщение будет возвращено и в открытом виде отправлено не будет. Такими являются следующие требования:<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">REQUIRETLS должен быть включен.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Сообщение должно быть помечено как нуждающееся в обработке RequireTLS с помощью Действия фильтра содержания или адреса &quot;<\/span><span class=\"f_PlainText\">&lt;localpart&gt;+requiretls@...<\/span><span class=\"f_List12\">&quot;.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">DNS-запросы для получателей MX-хостов должны использовать<a href=\"ssl_dnssec.html\" class=\"topiclink\">DNSSEC<\/a> (см. ниже). Возможно также подтверждение MTA-STS записи MX.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Соединение с принимающим хостом должно использовать SSL (STARTTLS).<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Сертификат SSL принимающего хоста должен соответствовать имени хоста MX и цепочке доверенного ЦС.<\/span><\/p>\n\r<p class=\"p_List12_LastItem\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12_LastItem\">Принимающий почтовый сервер должен поддерживать REQUIRETLS и заявлять об этом в ответе EHLO.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS требует поиска DNSSEC хостов записи MX. В качестве альтернативы MTA-STS может проверить запись MX. Вы можете<a href=\"ssl_dnssec.html\" class=\"topiclink\">настроить DNSSEC<\/a>, указав критерии, по которым поиск будет запрашивать службу DNSSEC. <a href=\"ip-cache.html\" class=\"topiclink\">IP-кэш<\/a> MDaemon имеет опцию принятия утверждений DNSSEC, а в верхней части файла <a href=\"default-domain-and-servers_dns.html\" class=\"topiclink\">MX Hosts<\/a> есть инструкции, касающиеся DNSSEC. Наконец, DNSSEC требует правильно настроенных DNS-серверов, что выходит за рамки информации в этом файле справки.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"mta-sta\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">Включите опцию<\/span><span class=\"f_ControlHeading\">MTA-STS (RFC 8461)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Поддержка MTA-STS включена по умолчанию и описана в стандарте<a href=\"https:\/\/tools.ietf.org\/html\/rfc8461\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8461: SMTP MTA Strict Transport Security (MTA-STS)<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">SMTP MTA Strict Transport Security (MTA-STS) - это механизм, позволяющий поставщикам почтовых услуг (SP) заявлять о своей способности получать защищенные SMTP-соединения Transport Layer Security (TLS) и указывать, должны ли отправляющие SMTP-серверы отказываться от доставки на хосты MX, которые не предлагают TLS с сертификатом доверенного сервера. Чтобы настроить MTA-STS для своего собственного домена, вам потребуется файл политики MTA-STS, который можно загрузить через HTTPS с URL-адреса https:\/\/mta-sts.domain.tld\/.well-known\/mta-sts.txt, где &quot;domain.tld&quot; - это ваше доменное имя. Текстовый файл политики должен содержать строки в следующем формате:<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">version: STSv1<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mode: testing<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mx: mail.domain.tld<\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">max_age: 86400<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Режим может быть &quot;none&quot;, &quot;testing&quot; или &quot;enforce&quot;. Строка &quot;mx&quot; должна присутствовать для каждого из ваших имен хостов MX. Для субдоменов можно использовать подстановочный знак, например &quot;*.domain.tld&quot;. Максимальный период в секундах. Популярные значения - 86400 (1 день) и 604800 (1 неделя). <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Также необходима запись DNS TXT в _mta-sts.domain.tld, где &quot;domain.tld&quot; - это имя вашего домена. Она должен иметь следующий формат:<\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">v=STSv1; id=20200206T010101;<\/span><span class=\"f_ControlIndent\"> <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Значение &quot;id&quot; должно меняться каждый раз при изменении файла политики. Обычно для id используется идентификатор времени.<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">Список исключений<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_List1\">Используйте этот список, чтобы исключить определенные домены из MTA-STS.<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">Кэш<\/span><span class=\"f_ControlHeading2\">DNS-записи MTA-STSs<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_ControlIndent2\">По умолчанию MDaemon кэширует DNS-записи MTA-STS. Нажмите<\/span><span class=\"f_ControlIndent2\" style=\"font-weight: bold;\">Редактировать<\/span><span class=\"f_ControlIndent2\">, чтобы просмотреть или отредактировать текущий файл кэша.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"tls_reporting\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">Включить отчеты TLS (RFC 8460)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Отчетность TLS по умолчанию отключена и обсуждается в стандарте<a href=\"https:\/\/tools.ietf.org\/html\/rfc8460\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8460: SMTP TLS Reporting<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">TLS Reporting позволяет доменам, использующим MTA-STS, получать уведомления о любых сбоях при получении политики MTA-STS, или же согласовывать безопасный канал с использованием STARTTLS. Когда этот параметр включен, MDaemon ежедневно отправляет отчет каждому домену с поддержкой STS, который отправил (или попытался отправить) почту в такой день. Существует несколько вариантов настройки информации, которая будет содержаться в ваших отчетах. <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Чтобы настроить отчеты TLS для вашего домена, включите<a href=\"security--dkim_sign.html\" class=\"topiclink\">DKIM-подписи<\/a> и создайте запись DNS TXT в<\/span><span class=\"f_PlainText\">_smtp._tls.domain.tld<\/span><span class=\"f_ControlIndent\">, где &quot;domain.tld&quot; - это имя вашего домена со значением в формате:<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_PlainText\">v=TLSRPTv1; rua=mailto:mailbox@domain.tld<\/span><span class=\"f_ControlIndent\"> <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">mailbox@domain.tld - это адрес электронной почты, на который вы хотите отправлять отчеты по вашему домену. <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">&nbsp;<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r<p style=\"text-indent: -1.4375rem; margin: 0.3125rem 0.5625rem 1.5000rem 3.0000rem;\"><span style=\"font-family: Arial,Helvetica,sans-serif; color: #000000;\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r"
})
