allow-starttls<source>Хаб задаёт самДирективаРазрешение объявлять STARTTLS клиентам этого источника; умолчание — не разрешать, и тогда подача идёт открытым текстом.openssl-security-levelGlobalДирективаЧисло от 0 до 5, ниже которого OpenSSL отказывается работать с ключами, сертификатами и версиями протокола; по умолчанию 1.require-starttls<domain>Хаб задаёт самДирективаС этой строкой узел обрывает соединение вместо отправки открытым текстом; умолчание — отправить.smtp-server-tls-certificateGlobalХаб задаёт самДирективаСертификат X.509 в формате PEM — из файла или из хранилища секретов; пароль к закрытому ключу необязателен и тоже может лежать в хранилище.smtp-tls-min-version<domain>ДирективаСамая старая версия протокола, которую узел готов согласовать при отправке; умолчание — TLS 1.1.use-dane<domain>ДирективаУзел читает записи DANE получателя, требует шифрования, если тот его требует, и сверяет сертификат по отпечатку из DNS; умолчание — выключено.use-mta-sts<domain>Хаб задаёт самДирективаУзел забирает политику получателя и, если она в режиме принуждения, доставляет только при совпадении MX, шифровании и проверенном сертификате; умолчание — выключено.use-starttls<domain>Хаб задаёт самДирективаВключает STARTTLS, если приёмник его предлагает; умолчание — включено.require-starttls<source>ДирективаС этой строкой клиент обязан выполнить STARTTLS раньше всего, кроме приветствия и служебных команд; умолчание — не требовать.smtp-client-certificate<domain>ДирективаКлиентский сертификат, который узел показывает приёмнику при исходящем соединении; пароль к нему задаётся вторым словом и необязателен.smtp-server-tls-min-versionGlobalДирективаСамая старая версия протокола, которую узел готов принять от подающего клиента; умолчание — TLS 1.2, строже, чем на отправке.smtp-tls-ca-file<domain>ДирективаФайл с корневыми сертификатами, по которым проверяется цепочка, предъявленная приёмником; по умолчанию берётся список из поставки.smtp-server-tls-ca-fileGlobalДирективаФайл с корневыми сертификатами, по которым проверяются сертификаты, предъявленные клиентами на входящих соединениях.smtp-server-tls-cipher-server-preferenceGlobalДирективаС этой строкой шифр выбирается по порядку из нашей конфигурации, а не по порядку клиента; умолчание — по клиенту.smtp-server-tls-ciphersGlobalДирективаСписок допустимых шифров в записи OpenSSL для входящих соединений; действует на версии по TLS 1.2, у 1.3 свой список.smtp-server-tls-max-versionGlobalДирективаСамая новая версия протокола, которую узел готов принять от подающего клиента; по умолчанию не ограничена.log-tls<domain>ДирективаПодробности согласования шифрования с приёмником в журнал узла; умолчание — не записывать.smtp-server-tls-allow-tlsv1GlobalустарелаДирективаОтдельный переключатель для одной версии протокола на приёме; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-server-tls-allow-tlsv1.1GlobalустарелаДирективаОтдельный переключатель для одной версии протокола на приёме; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-server-tls-allow-tlsv1.2GlobalустарелаДирективаОтдельный переключатель для одной версии протокола на приёме; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-server-tls-allow-tlsv1.3GlobalустарелаДирективаОтдельный переключатель для одной версии протокола на приёме; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-server-tls-v1.3-ciphersuitesGlobalДирективаОтдельный список для версии 1.3 на входящих соединениях; умолчание перечисляет пять современных наборов.smtp-tls-allow-tlsv1<domain>устарелаДирективаОтдельный переключатель для одной версии протокола; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-tls-allow-tlsv1.1<domain>устарелаДирективаОтдельный переключатель для одной версии протокола; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-tls-allow-tlsv1.2<domain>устарелаДирективаОтдельный переключатель для одной версии протокола; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-tls-allow-tlsv1.3<domain>устарелаДирективаОтдельный переключатель для одной версии протокола; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ диапазона.smtp-tls-ciphers<domain>ДирективаСписок допустимых шифров в записи OpenSSL; действует на версии по TLS 1.2, для 1.3 есть отдельная строка.smtp-tls-max-version<domain>ДирективаСамая новая версия протокола, которую узел готов согласовать при отправке; по умолчанию не ограничена.smtp-tls-v1.3-ciphersuites<domain>ДирективаОтдельный список для версии 1.3 — у неё наборы устроены иначе, чем у предыдущих версий.tls-allow-sslv3<smtp-listener>устарелаДирективаPowerMTA больше не поддерживает SSLv3; строка сохранена только ради совместимости конфигураций.tls-allow-sslv3<transmissions-api-listener>устарелаДирективаPowerMTA больше не поддерживает SSLv3; строка сохранена только ради совместимости конфигураций.tls-allow-tlsv1<smtp-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у слушателя; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.tls-allow-tlsv1<transmissions-api-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у входа HTTP API; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.tls-allow-tlsv1.1<smtp-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у слушателя; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.tls-allow-tlsv1.1<transmissions-api-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у входа HTTP API; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.tls-allow-tlsv1.2<smtp-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у слушателя; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.tls-allow-tlsv1.2<transmissions-api-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у входа HTTP API; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.tls-allow-tlsv1.3<transmissions-api-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у входа HTTP API; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.tls-allow-tlsv1.3<smtp-listener>устарелаДирективаОтдельный переключатель для одной версии протокола у слушателя; объявлен устаревшим в PowerMTA 5.5 в пользу пары границ.Приёмник объявляет требование шифрования в своей зоне DNSМеханизмУзел смотрит записи DANE получателя и, если тот требует STARTTLS, отправляет только по зашифрованному каналу с проверенным по отпечатку сертификатом.Приёмник объявляет требование шифрования на своём сайтеМеханизмУзел забирает политику получателя по HTTPS и, если та в режиме принуждения, доставляет только при совпадении MX, шифровании и проверенном сертификате.Библиотека шифрования — часть поставки, а не системыМеханизмOpenSSL приезжает внутри дистрибутива PowerMTA, поэтому набор версий и шифров определяется версией продукта, а не системными библиотеками.Что нельзя в режиме FIPSМеханизмВ режиме FIPS доступен только проверенный набор алгоритмов: часть привычных настроек шифрования и подписи становится недоступной.Подача по HTTPS на своём приёмнике, по образцу SparkPostМеханизмОтдельный вход: свой приёмник с сертификатом, свои ключи и зарезервированное имя источника, через которое к такой почте применяются обычные настройки подачи.