الفصل 05
الشبكات وDNS والتشفير
المسؤول:
#pTls
Let's Encrypt ACME v2 (0 ms SNI) وMTA-STS وDANE وBIMI
يؤتمت nextxch إصدار شهادات X.509 وتجديدها عبر Let's Encrypt ACME v2، مع تبديل الشهادات المجددة فورًا خلال 0 ms عبر HTTPS وSMTPS وSTARTTLS وIMAPS وManageSieve دون قطع أي اتصال.
نصيحة تشغيلية وملاحظة حول البنية
تفصيل حاسم في DANE (TLSA): انشروا سجلات DANE دائمًا باستخدام Usage 3 وSelector 1 (المفتاح العام SPKI) وMatchingType 1 (SHA-256)، أي '3 1 1'. ولا تستخدموا أبدًا '3 0 1' (تجزئة الشهادة كاملة) مع تجديدات Let's Encrypt الآلية كل 60 يومًا ما لم تكن تحديثات DNS مؤتمتة!
سجلات DNS لـ DANE TLSA (3 1 1) وMTA-STS
يُحسب ملخص SPKI SHA-256 الدقيق لشهادتكم النشطة جاهزًا للنسخ ضمن #pTls في لوحة الإدارة (Admin Cockpit).
_25._tcp.mail.firma.de. 3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de. 3600 IN TXT "v=STSv1; id=20261030"
_smtp._tls.firma.de. 3600 IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de. 3600 IN TXT "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"الإعدادات والقيم الافتراضية وأفضل الممارسات
| الإعداد / الموقع | الوصف | القيمة الافتراضية | أفضل ممارسة للإنتاج |
|---|---|---|---|
ACME SAN-Domains (#pTls) |
أسماء Subject Alternative Names المضمّنة في شهادة Let's Encrypt، وتُجدَّد تلقائيًا قبل 30 يومًا من انتهاء الصلاحية. | ServerHostName vorausgewählt |
أدرجوا فقط أسماء المضيفات التي تشير سجلات A/AAAA العامة الخاصة بها إلى هذا الخادم! فإدراج نطاق جذري مستضاف في مكان آخر سيؤدي إلى فشل التحقق عبر HTTP-01. |
MTA-STS & TLS-RPT (RFC 8461 / 8460) |
يوجّه وكلاء نقل البريد المرسِلة (MTAs) عبر سياسة HTTPS إلى تسليم البريد إلى نطاقكم حصريًا عبر TLS مصادَق عليه. | Integrierter Policy-Endpunkt |
ابدأوا في وضع testing مع مراقبة تقارير TLS-RPT في /admin/، ثم بدّلوا وضع السياسة إلى enforce. |
DANE TLSA (_25._tcp.<ServerHostName>) |
يثبّت خلاصة SHA-256 لـ SubjectPublicKeyInfo الخاصة بخادمكم في DNS موقّع بـ DNSSEC (_25._tcp.mail.company.com). | 3 1 1 <SPKI-SHA256-Hash> |
انشروا فقط على المناطق الموقّعة بـ DNSSEC باستخدام سجل SPKI SHA-256 الدقيق '3 1 1' المُولّد في #pTls. |
BIMI Markenlogo (default._bimi) |
يعرض علامتكم التجارية الموثّقة (SVG Tiny 1.2 PS) بجوار رسائلكم في عملاء البريد الداعمين لذلك. | Integrierter SVG-Sanitizer |
يتطلب DMARC p=quarantine أو p=reject. ارفعوا ملف SVG في #pTls لتنقيته واستضافته تلقائيًا مع ترويسات CORS المناسبة. |