hmLoadTopic({
hmKeywords:"SSL 和 TLS,SSL 和 TLS STARTTLS 列表,STARTTLS 列表,STARTTLS 请求列表",
hmTitle:"SMTP 扩展",
hmDescription:"SMTP 扩展 启用 REQUIRETLS (RFC 8689) RequireTLS 允许您标记必须使用 TLS 发送的邮件。如果无法使用 TLS（或者 TLS 证书交换的参数不可接受），则退回邮件，而不是不安全地投递邮件。有关 RequireTLS 的完整说明，请参阅： RFC 8689： SMTP Require TLS Option. 默认",
hmPrevLink:"ssl_starttls-required-list.html",
hmNextLink:"ssl_dnssec.html",
hmParentLink:"ssl__certificates.html",
hmBreadCrumbs:"<a href=\"security_menu.html\">安全菜单<\/a> &gt; 安全管理器 &gt; <a href=\"ssl__certificates.html\">SSL 和 TLS<\/a>",
hmTitlePath:"安全菜单 > 安全管理器 > SSL 和 TLS > SMTP 扩展",
hmHeader:"<h1 class=\"p_Heading1\" style=\"page-break-after: avoid;\"><span class=\"f_Heading1\">SMTP 扩展<\/span><\/h1>\n\r",
hmBody:"<p class=\"p_BodyText_Center\"><img style=\"margin:0 auto 0 auto;width:32.5000rem;height:24.5000rem;border:none\" src=\".\/images\/ssl-tls_smtp_extensions.png\"\/><\/p>\n\r<p class=\"p_DialogSectionHeading\" style=\"page-break-after: avoid;\"><span class=\"f_DialogSectionHeading\">SMTP 扩展<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">启用 REQUIRETLS (RFC 8689)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS 允许您标记<\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">必须<\/span><span class=\"f_ControlIndent\">使用 TLS 发送的邮件。如果无法使用 TLS（或者 TLS 证书交换的参数不可接受），则退回邮件，而不是不安全地投递邮件。有关 RequireTLS 的完整说明，请参阅： <a href=\"https:\/\/tools.ietf.org\/html\/rfc8689\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8689： SMTP Require TLS Option<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">默认情况下，启用 RequireTLS，但是将受 RequireTLS 进程约束的唯一邮件是被使用新的<a href=\"cf_creating_a_new_content_filter_rule.html\" class=\"topiclink\">内容过滤器操作<\/a>, “<\/span><span class=\"f_ControlIndent\" style=\"font-style: italic;\">为 REQUIRETLS 标记邮件...<\/span><span class=\"f_ControlIndent\">”的“内容过滤器”规则特别标记的邮件，或发送至 <\/span><span class=\"f_PlainText\">&lt;local-part&gt;+requiretls@domain.tld<\/span><span class=\"f_ControlIndent\"> (例如 <\/span><span class=\"f_PlainText\">arvel+requiretls@mdaemon.com<\/span><span class=\"f_ControlIndent\">)的邮件。将所有其他邮件视为已禁用该服务。此外，必须满足几个要求才能使用 RequireTLS 发送邮件。如果它们中的任何一个失败，该邮件将弹回，而不是以明文形式发送。这些要求是：<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">必须启用 RequireTLS。<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">必须通过“内容过滤器”操作或“<\/span><span class=\"f_PlainText\">&lt;localpart&gt;+requiretls@...<\/span><span class=\"f_List12\">”地址将该邮件标记为需要 RequireTLS 处理。<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">针对收件 MX 主机的 DNS 查询必须使用 <a href=\"ssl_dnssec.html\" class=\"topiclink\">DNSSEC<\/a> (见下)，或者 MX 必须由 MTA-STS 验证。<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">指向收件主机的连接必须使用 SSL (STARTTLS)。<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">收件主机的 SSL 证书必须与 MX 主机名匹配，并链接到受信任的 CA。<\/span><\/p>\n\r<p class=\"p_List12_LastItem\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.6250rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12_LastItem\">收件邮件服务器必须支持 REQUIRETLS，并在 EHLO 响应中声明。<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS 需要 MX 记录主机的 DNSSEC 查找，否则 MX 必须由 MTA-STS 验证。您可以通过指定查询根据什么条件请求 DNSSEC 服务区来<a href=\"ssl_dnssec.html\" class=\"topiclink\">配置 DNSSEC<\/a>。MDaemon 的 <a href=\"ip-cache.html\" class=\"topiclink\">IP 缓存<\/a> 拥有一个选项，用来接受 DNSSEC 声明，在 <a href=\"default-domain-and-servers_dns.html\" class=\"topiclink\">MX 主机文件<\/a>顶部还有与 DNSSEC 相关的指令。最后，DNSSEC 需要适当配置的 DNS 服务器，这超出了此帮助文件的范围。<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"mta-sta\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">启用<\/span><span class=\"f_ControlHeading\"> MTA-STS (RFC 8461)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">默认情况下启用 MTA-STS 支持，详细说明请参阅 <a href=\"https:\/\/tools.ietf.org\/html\/rfc8461\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8461: SMTP MTA Strict Transport Security (MTA-STS)<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">SMTP MTA 严格传输安全（MTA-STS）是一种机制，使邮件服务供应商（SP）能够声明其接收传输层安全（TLS）和保护 SMTP 连接的能力，并指定发件 SMTP 服务器是否应拒绝投递给不为 TLS 提供受信任的服务器证书的 MX 主机。要为您自己的域设置 MTA-STS，您需要一个 MTA-STS 策略文件，该文件可以通过 HTTPS 从 URL https:\/\/mta-sts.domain.tld\/.well-known\/mta-sts.txt 下载，其中“ domain.tld”是您的域名。策略文本文件应包含以下格式的几行信息： <\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">version: STSv1<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mode: testing<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mx: mail.domain.tld<\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">max_age: 86400<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">模式可以是“none”、“testing”或“enforce”。每个 MX 主机名应有一个“mx”行。通配符可用于子域，例如“*.domain.tld”。存在时间最大值以秒为单位。常规值是 86400 (1 天) 和 604800 (1 周)。<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">还需要 _mta-sts.domain.tld 上的 DNS TXT 记录，其中“domain.tld”是您的域名。它必须具有以下格式的值： <\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">v=STSv1; id=20200206T010101;<\/span><span class=\"f_ControlIndent\"> <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">每次更改策略文件时，都必须更改“id”的值。通常为这个 id 使用时间戳。<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">豁免列表<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_List1\">使用此列表可使特定域免于 MTA-STS。<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">缓存<\/span><span class=\"f_ControlHeading2\"> MTA-STS DNS 记录<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_ControlIndent2\">默认情况下，MDaemon 缓存 MTA-STS DNS 记录。请点击“<\/span><span class=\"f_ControlIndent2\" style=\"font-weight: bold;\">编辑<\/span><span class=\"f_ControlIndent2\">”来查看或编辑当前的缓存文件。<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"tls_reporting\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">启用 TLS 报告 (RFC 8460)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">默认情况下禁用 TLS 报告功能，更多详细信息请参阅<a href=\"https:\/\/tools.ietf.org\/html\/rfc8460\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8460: SMTP TLS Reporting<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">TLS 报告功能允许使用 MTA-STS 的域收到有关检索 MTA-STS 策略或使用 STARTTLS 协商安全通道的任何失败的通知。启用后，MDaemon 会每天向已在当天向其发送（或尝试发送）邮件的每个启用 STS 的域发送报告。提供了多个选项来配置报告将包含的信息。<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">要为您的域设置 TLS 报告，请启用 <a href=\"security--dkim_sign.html\" class=\"topiclink\">DKIM 签名<\/a>，并在 <\/span><span class=\"f_PlainText\">_smtp._tls.domain.tld<\/span><span class=\"f_ControlIndent\"> 创建一个 DNS TXT 记录，其中“domain.tld”是您的域名，具有以下格式的值：<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_PlainText\">v=TLSRPTv1; rua=mailto:mailbox@domain.tld<\/span><span class=\"f_ControlIndent\"> <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">其中 mailbox@domain.tld 是您要向其发送域报告的电子邮件地址。<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">&nbsp;<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r<p style=\"text-indent: -1.4375rem; margin: 0.3125rem 0.5625rem 1.5000rem 3.0000rem;\"><span style=\"font-family: Arial,Helvetica,sans-serif; color: #000000;\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r"
})
