MTA-STS ポリシー & TLS-RPT DNS レコード生成ツール

MTA-STS ポリシー & TLS-RPT DNS レコード生成ツール

RFC 8461準拠のMTA-STSポリシーファイル、_mta-sts DNS TXTレコード、およびRFC 8460 TLS-RPTレポートレコードの生成仕様と運用ベストプラクティス。

プリセット:
ポリシー & DNS 設定

ポリシーホスト: mta-sts.example.com

Strict security: rejects unencrypted/invalid TLS delivery.

認証済みメールサーバー (MX) ホスト名2
mx:mail.example.com
mx:mx2.example.com
7 days (1 week)

ポリシーファイルを編集したときはIDを更新して送信元に再取得させてください。

TLS-RPT SMTPインシデントレポート設定 (RFC 8460)
version: STSv1
mode: enforce
mx: mail.example.com
mx: mx2.example.com
max_age: 604800
強制適用状態
enforceStrict TLS
許可メール配信先
2 MX Patterns
ポリシーキャッシュ有効期間
7 days (1 week)

超高速ローカルコンパイル

外部サーバーとの通信を一切行わず、ブラウザ内メモリ上でRFC 8461ポリシーファイルおよびDNS TXTレコードを即座に生成します。

RFC 8461 & RFC 8460 厳格準拠検証

MXワイルドカード構文、IPアドレス禁止規則、英数字ポリシーIDの制約、HTTPS配信要件を厳密に検証します。

マルチプラットフォーム即時展開

BIND、Cloudflare、Route 53、Nginx、Caddy、Apache、HashiCorp Terraform用の即時デプロイ可能なスニペットを出力します。

技術リファレンス&アーキテクチャガイド

MTA-STS ポリシー&TLS-RPT DNSレコードジェネレーター — リファレンスガイド

RFC 8461準拠のMTA-STSポリシーファイル、_mta-sts DNS TXTレコード、およびRFC 8460 TLS-RPTレポートレコードの生成仕様と運用ベストプラクティス。

主要パラメータ&設定項目

modestring (enforce | testing | none)

受信SMTP接続に対するMTA-STSの強制適用モード。'testing'はTLS接続失敗時もメールを破棄せずレポートのみを要求し、'enforce'は規格に適合しない接続をドロップして厳格にTLSを強制し、'none'はポリシーを無効化します。

初期値: testing
mxstring | string[]

送信側MTAが接続およびTLS証明書のSAN検証を許可する、対象ドメインの正規化MXホストパターン(FQDNまたは*.mail.example.comなどの単一階層ワイルドカード)。

初期値: mail.example.com
max_ageinteger (秒)

送信側MTAがローカルにMTA-STSポリシーをキャッシュする有効期間(秒単位)。本番環境の標準値は604800(1週間)〜1209600(2週間)です。初期検証時は86400(1日)などの短い値が推奨されます。

初期値: 604800
policy_idstring

_mta-sts DNS TXTレコード内に宣言する固有の識別子(タイムスタンプまたは2026101701のようなハッシュ値)。この値が更新されると、送信側MTAはキャッシュを破棄してHTTPS経由でmta-sts.txtを再取得します。

初期値: 20261017000000
ruastring (mailto URI)

_smtp._tls TXTレコードに指定する集計レポート送信先メールアドレス。対応する送信側MTAから日次のTLS障害集計JSONレポート(TLS-RPT)が配信されます。

初期値: mailto:[email protected]

プロの活用テクニック&推奨設定

TLS-RPTを先行導入し段階的にEnforceモードへ移行する

MTA-STSを'enforce'に切り替える前に、必ず_smtp._tlsのTLS-RPTレコードを設定し、'testing'モードで最低2週間運用してください。受信したTLS-RPT日次レポートを解析することで、暗号スイートの不一致や中間証明書の欠落、SNIの不備によるメール不達リスクを未然に防止できます。

ポリシーファイルは https://mta-

ポリシーファイルは https://mta-sts.<ドメイン>/.well-known/mta-sts.txt からHTTPステータス200、Content-Type text/plain、パブリック信頼されたTLS証明書で配信する必要があります。別ホストへのリダイレクトや自己署名・期限切れ証明書はポリシー取得失敗とみなされます。

MX指定とメールサーバーのTLS証明書SAN(サブジェクト代替名)を一致させる

ポリシーファイル内の'mx:'行は、DNS上のMXレコードおよびメールサーバーが提示するTLS証明書のSANと完全に一致していなければなりません。MXがmail.example.comの場合、証明書にもmail.example.comまたは*.example.comが含まれている必要があります。

よくあるトラブルと解決策

ポリシー取得失敗: 送信側MTAがmta-stsサブドメインでHTTPS接続または証明書エラーを報告する

'mta-sts.<自社ドメイン>'のA/AAAAレコードが正しく存在し、Webサーバーにmta-stsサブドメイン(またはワイルドカード)をカバーする有効なSSL/TLS証明書が設定されているか確認してください。443番ポートのグローバル到達性と10秒以内の応答を確認してください。

'enforce' モード導入後に正規の受信メールが拒否・消失する

いずれかのMXサーバーのTLS証明書の有効期限切れ、ホスト名不一致、またはSTARTTLS応答の失敗が疑われます。緊急時はDNS TXTのmodeを'testing'に変更し、policy_idをインクリメントして送信元MTAのキャッシュを強制更新してください。

よくある質問 (FAQ)

MTA-STSとDANE TLSAの違いは何ですか?▼

MTA-STS(RFC 8461)は標準的なWeb PKI(HTTPS証明書認証局)とDNSレコードを利用してSTARTTLSのダウングレード攻撃を防ぎます。一方DANE(RFC 7672)はDNSSECを活用して証明書指紋をDNS内に直接固定(ピン留め)するプロトコルであり、完全なDNSSEC署名インフラが必要となります。

なぜDNSのpolicy_id(idパラメータ)が重要なのですか?▼

送信側MTAはmax_ageの期間ポリシーをローカルにキャッシュします。送信側はHTTPSでポリシーを毎回取得するのではなく、まずDNSの_mta-stsレコードにある'id='の変更を検知したときのみポリシーを再取得します。ポリシー内容を変更した際は必ずDNSのidも更新する必要があります。

送信側サーバーがMTA-STSに対応していない場合はどうなりますか?▼

RFC 8461非対応の送信サーバーは_mta-stsレコードやHTTPSポリシーを無視し、従来のオポチュニスティックSTARTTLS(日和見暗号化)で接続を試みます。STARTTLSが使えない場合は平文で配送されます。

1つのMTA-STSポリシーに複数のMXホストを指定できますか?▼

はい、可能です。各行に'mx: mx1.example.com'、'mx: mx2.example.com'のように独立して宣言できます。自社ドメインの公開DNSに登録されているすべてのMXホストに対応する行を記載する必要があります。

関連するおすすめ開発ツール

すべてのツール →
JWTトークンデコーダー&セキュリティインスペクターセキュリティ

ブラウザ上でJSON Web Tokenをデコードし、RFC 7519およびOIDCクレームの確認、有効期限の精密検査、HMAC署名のローカル検証を行う開発者向けユーティリティ。

ツールを開く→
高強度パスワード・パスフレーズ自動生成ツールセキュリティ

暗号論的擬似乱数生成器(Web Crypto CSPRNG)を用いた高エントロピーパスワード、覚えられるDicewareパスフレーズ、PIN、APIトークンをブラウザ内で瞬時に安全生成。NIST SP 800-63B準拠。

ツールを開く→
暗号学的ハッシュ値・チェックサム一括計算ツールセキュリティ

SHA-256、SHA-512、MD5、SHA-1、SHA-3、Keccak、CRC32をブラウザ内で瞬時に一括算出。Web Crypto APIによる100%クライアントサイド完結。

ツールを開く→
JSON Web Token (JWT) デバッガー&署名検証ツールセキュリティ

HMAC (HS256/384/512) および RSA (RS256/384/512) 署名のデコード・構造検査・検証をブラウザ内メモリで100%完結。外部サーバー送信一切なし。

ツールを開く→
パスワード強度チェッカーセキュリティ

zxcvbnアルゴリズムを用いたパスワードエントロピー計算、クラック所要時間推定、および安全基準検証ガイド。

ツールを開く→
AES暗号化ツールのセキュリティ

ブラウザネイティブのWeb Cryptography APIを活用したAES-GCMおよびAES-CBC共通鍵暗号化の技術仕様および実装ガイド。

ツールを開く→