批量 MTA-STS 检查：最多 500 个域名的记录、策略模式与 TLS-RPT

MTA-STS 由 RFC 8461 定义，允许域名要求发件服务器只通过使用有效证书的 TLS 投递其邮件。它由两部分组成：位于 _mta-sts.<domain>、带有 id 的 TXT 记录，以及位于 https://mta-sts.<domain>/.well-known/mta-sts.txt 的策略文件，其中列出模式、max_age 和允许的 MX 主机。

对每个域名，本工具会确认恰好有一条带有效 id 的 v=STSv1 记录，通过 HTTPS 获取策略文件（校验证书且不跟随重定向，RFC 禁止跟随），解析它，并把每个 MX 主机与策略中的 mx 行逐一比对。它还会读取 _smtp._tls.<domain> 的 TLS-RPT 记录（RFC 8460），发件服务器会把 TLS 失败报告发到那里。

Enforced：记录、策略文件和每个 MX 主机都没问题，且处于 enforce 模式，因此支持 MTA-STS 的发件方会拒绝通过未通过 TLS 检查的连接投递。Testing：同上，但发件方只报告失败，仍会投递。Off：模式为 none，策略已关闭。

Broken 表示存在记录，但有问题导致发件方无法使用，例如策略文件无法加载、mta-sts 主机证书无效，或某个 MX 主机不在策略范围内；在 enforce 模式下，这可能会拦截真实邮件。Not set up 表示没有 v=STSv1 记录，大多数域名都属于这种情况。

它是可选的，没有任何邮箱服务商把它作为接收你邮件的前提。对接收重要邮件的域名值得配置，搭配 TLS-RPT 最有用，因为这样能在强制执行前看到失败情况。先使用 testing 模式，阅读报告，再切换到 enforce。

如果只查一个域名并需要完整的策略文件和每个问题的修复方法，请使用单个 MTA-STS 检查（英文）；要编写记录，请使用 MTA-STS 生成器（英文）。

最常见的原因是：mta-sts.<domain> 无法解析、证书不覆盖该名称、发生了重定向（跳到 www 主机或登录页），或返回的不是 HTTP 200。发件方会把这些情况都视为没有策略。

每个请求都会表明自己是 SimpleVerifier，最多读取 64 KB，最多等待八秒，并且绝不连接私有地址。屏蔽自动请求的网站可能在这里失败，但在浏览器中能正常打开；该行的原因会说明我们看到了什么。