Jak nastavím MTA-STS a TLS-RPT pro svou doménu?

Co chrání MTA-STS?

MTA-STS umožňuje poštovní doméně oznámit, že podporuje TLS, a že odesílatelé musí odmítnout doručení na kterýkoli z jejích hostitelů MX, který nepředloží platný certifikát. Definuje jej RFC 8461, návrhový standard ze září 2018. Bez něj je šifrování mezi servery oportunistické: odesílatel zkusí STARTTLS a pokud jej útočník odstraní, pošle zprávu v čistém textu.

S pravidlem v režimu enforce odesílatel, který MTA-STS podporuje, načte vaše pravidla, zkontroluje, že hostitel MX je uveden v seznamu mx, a vyžaduje platné spojení TLS s odpovídajícím certifikátem. Pokud některá kontrola selže, zpráva čeká a nedoručí se přes slabší kanál. Chrání jen příchozí poštu a funguje jen pro odesílatele, kteří jej implementují. Zprávy neověřuje: to je úkol záznamů v SPF vs DKIM vs DMARC.

Co patří do souboru s pravidly?

Soubor s pravidly je prostý textový soubor s řádky klíč: hodnota s verzí, režimem, povolenými vzory MX a dobou platnosti v sekundách. RFC 8461 definuje tato pole. version musí být STSv1. mode je enforce (odesílatelé nesmějí doručovat na hostitele, které neprojdou kontrolou), testing (doručení může proběhnout a odesílatelé, kteří podporují TLS-RPT, posílají hlášení o selhání) nebo none (jako by pravidlo neexistovalo). Každý řádek mx uvádí hostitele celým názvem, například mail.protonmail.ch, nebo používá zástupný znak u nejlevějšího štítku, například *.example.net. max_age je počet sekund, nejvýše 31 557 600, a RFC uvádí, že typicky by to mělo být týdny nebo více. Jeho příklad používá 604800, tedy jeden týden.

Soubor musí být servírován přes HTTPS na mta-sts.yourdomain s certifikátem platným pro tento název. Počítá se jen odpověď HTTP 200 a přesměrování se nesmí sledovat, což vylučuje přesměrování URL, tedy službu, která odpovídá přesměrováním. Soubor by měl být odeslán jako text/plain. Použijte malý webhosting nebo statický hosting, který spravujete. Řádky mx se musí shodovat se záznamy vašeho poskytovatele, jak jsou uvedeny v co je záznam MX.

Jaké je id a pořadí aktualizace?

Id v záznamu TXT je štítek o 1 až 32 písmenech a číslicích, který se musí změnit pokaždé, když se pravidla změní, aby odesílatelé věděli, že mají soubor znovu stáhnout. RFC 8461 říká, že identifikuje jednu instanci pravidla a že mezi id není žádné pořadí, takže se dobře hodí časové razítko datum-čas.

Aktualizujte v tomto pořadí: nejdřív zveřejněte nový soubor s pravidly, pak změňte id. Odesílatel, který uvidí nové id dříve než nový soubor, by si staré pravidlo znovu uložil do mezipaměti. Když změníte poskytovatele e-mailu, změní se i hostitelé MX, takže upravte řádky mx dříve, než změníte záznamy MX, ponechte staré hostitele v seznamu během přesunu a zvyšte id. Zapomenutý řádek mx v režimu enforce zastaví příjem pošty, a průvodce jak přesunout e-mail k novému poskytovateli uvádí bezpečné pořadí ostatních kroků.

Co je TLS-RPT a co hlášení obsahují?

TLS-RPT je formát hlášení podle RFC 8460, v němž odesílající servery každý den sdělují, kolik spojení TLS k vaší doméně se zdařilo nebo selhalo. Publikujete záznam TXT na _smtp._tls.yourdomain s v=TLSRPTv1 a polem rua obsahujícím adresu mailto: nebo https:. Hlášení mailto musí nést platný podpis DKIM z hlásící domény.

Každé hlášení je dokument JSON za jeden den UTC. Uvádí použité pravidlo (MTA-STS, DANE nebo none), počet úspěšných a neúspěšných relací a typ selhání, například certificate-expired nebo starttls-not-supported, spolu s IP adresami odesílatele a příjemce. Takto zjistíte, že certifikát vypršel nebo že v řádku mx je překlep, dříve než přejdete na enforce. Prvních několik týdnů berte jako zkušební období doporučené pro DMARC.

Potřebuji MTA-STS pro osobní e-mailovou doménu?

Ne: MTA-STS je volitelné zpevnění a pravidla pro velké odesílatele ho nevyžadují. Google, Yahoo a Microsoft žádají hromadné odesílatele o SPF, DKIM a DMARC a MTA-STS neuvádějí. U osobní domény u Proton Mail, Fastmailu nebo Mailbox.org se nastavení vyplatí jen tehdy, pokud přijmete údržbu webového hostingu a certifikátu.

Poskytovatelé se liší. Podle čtení Postelva z 12. listopadu 2026 z nastavení DNS 4 poskytovatelů (Proton Mail, Tuta, Mailbox.org a Fastmail) uvádí 1 záznam MTA-STS ve svém vlastním nastavení (Tuta, jako CNAME), a nápovědy zbylých tří žádný nedokumentují. Celé nastavení je 3 záznamy DNS a 1 soubor. Každý ověřte příkazy v jak zkontrolovat záznamy MX, SPF, DKIM a DMARC: dig TXT _mta-sts.example.com +short a dig TXT _smtp._tls.example.com +short.

Citovatelná definice: MTA-STS je pravidlo, které vynucuje TLS, když jiné servery doručují poštu do vaší domény, a TLS-RPT je denní hlášení, které vám řekne, kdy to selže.