MTA-STS（MTA Strict Transport Security，邮件传输代理严格传输安全）由IETF RFC 8461定义，是继STARTTLS之后邮件传输安全领域最重要的协议改进之一。它的核心设计目标直指STARTTLS的致命弱点：在传统的SMTP通信中，TLS加密是机会性的（Opportunistic），攻击者可以通过中间人攻击拦截并删除STARTTLS命令从而降级为明文通信。MTA-STS通过引入基于域策略的强制加密声明，配合DNS和HTTPS双通道验证，从根本上解决了这一安全隐患。本文将从协议原理出发，逐步深入到DNS记录配置、策略文件服务搭建和运维监控。

一、MTA-STS 协议原理与工作流程

二、DNS TXT 记录配置

三、Policy.txt 策略文件格式

四、HTTPS 策略文件服务搭建

五、Testing vs Enforce 模式

六、SMTP TLS Reporting（TLS-RPT）

总结

参考来源：IETF RFC 8461 - SMTP MTA Strict Transport Security (MTA-STS)；IETF RFC 8460 - SMTP TLS Reporting；NIST SP 800-177 Rev.1 - Trustworthy Email；UK NCSC - Email security and anti-spoofing guidance；Google Transparency Report - Email encryption in transit。