Bagaimana cara menyiapkan MTA-STS dan TLS-RPT untuk domain saya?

Apa yang dilindungi MTA-STS?

MTA-STS memungkinkan domain surat menyatakan bahwa ia mendukung TLS dan pengirim harus menolak pengiriman ke host MX mana pun yang tidak dapat menunjukkan sertifikat yang valid. RFC 8461, sebuah Proposed Standard tanggal September 2018, mendefinisikannya. Tanpanya, enkripsi antarserver bersifat opportunistic: pengirim mencoba STARTTLS dan, jika penyerang menghapusnya, mengirim pesan dalam teks biasa.

Dengan kebijakan dalam mode enforce, pengirim yang mendukung MTA-STS mengambil kebijakan Anda, memeriksa bahwa host MX muncul dalam daftar mx, dan mewajibkan koneksi TLS yang valid dengan sertifikat yang cocok. Jika ada pemeriksaan yang gagal, pesan menunggu dan tidak dikirim lewat saluran yang lebih lemah. Ia hanya melindungi email masuk, dan hanya berfungsi untuk pengirim yang menerapkannya. Ia tidak mengautentikasi pesan: itu tugas catatan di SPF vs DKIM vs DMARC.

Apa yang dimuat dalam file kebijakan?

File kebijakan adalah file teks biasa berisi baris kunci: nilai dengan versi, mode, pola MX yang diizinkan, dan masa berlaku dalam detik. RFC 8461 mendefinisikan kolom-kolom ini. version harus STSv1. mode adalah enforce (pengirim tidak boleh mengirim ke host yang gagal pemeriksaan), testing (pengiriman boleh tetap berjalan, dan pengirim yang mendukung TLS-RPT mengirim laporan kegagalan) atau none (seolah tidak ada kebijakan). Setiap baris mx menyebutkan host secara lengkap, misalnya mail.protonmail.ch, atau memakai wildcard pada label paling kiri, seperti *.example.net. max_age adalah angka dalam detik, paling banyak 31.557.600, dan RFC menyatakan nilainya biasanya minggu atau lebih. Contohnya memakai 604800, satu minggu.

File harus disajikan melalui HTTPS di mta-sts.yourdomain dengan sertifikat yang valid untuk nama itu. Hanya jawaban HTTP 200 yang dihitung, dan pengalihan tidak boleh diikuti, sehingga penerusan URL tidak bisa dipakai, karena itu layanan yang menjawab dengan pengalihan. File sebaiknya dikirim sebagai text/plain. Gunakan host web kecil atau host halaman statis yang Anda kendalikan. Baris mx harus cocok dengan catatan penyedia Anda seperti tercantum di apa itu catatan MX.

Apa itu id dan urutan pembaruannya?

id di catatan TXT adalah label 1 sampai 32 huruf dan angka yang harus berubah setiap kali kebijakan berubah, agar pengirim tahu harus mengambil file lagi. RFC 8461 menyatakan bahwa ia mengidentifikasi satu instance kebijakan dan tidak ada urutan antar-id, sehingga cap tanggal dan waktu bekerja dengan baik.

Perbarui dengan urutan ini: terbitkan file kebijakan baru lebih dulu, lalu ubah id. Pengirim yang melihat id baru sebelum file baru akan menyimpan kembali kebijakan lama. Saat Anda mengganti penyedia email, host MX ikut berubah, jadi edit baris mx sebelum Anda mengubah catatan MX, biarkan host lama tetap ada di daftar selama pemindahan, dan naikkan id. Baris mx yang terlupa dalam mode enforce membuat email berhenti datang, dan panduan pindah cara memindahkan email ke penyedia baru memberi urutan aman untuk langkah lainnya.

Apa itu TLS-RPT dan apa isi laporannya?

TLS-RPT adalah format pelaporan, RFC 8460, tempat server pengirim memberi tahu Anda setiap hari berapa banyak koneksi TLS ke domain Anda yang berhasil atau gagal. Anda menerbitkan catatan TXT di _smtp._tls.yourdomain dengan v=TLSRPTv1 dan kolom rua berisi alamat mailto: atau https:. Laporan mailto harus membawa tanda tangan DKIM yang valid dari domain pelapor.

Setiap laporan adalah dokumen JSON untuk satu hari UTC. Ia menyebutkan kebijakan yang diterapkan (MTA-STS, DANE atau none), menghitung sesi yang berhasil dan gagal, dan memberikan jenis kegagalan, seperti certificate-expired atau starttls-not-supported, beserta alamat IP pengirim dan penerima. Inilah cara Anda tahu bahwa sertifikat kedaluwarsa atau bahwa baris mx salah ketik, sebelum Anda beralih ke enforce. Anggap minggu-minggu pertama sebagai uji coba yang dianjurkan untuk DMARC.

Apakah saya membutuhkan MTA-STS untuk domain email pribadi?

Tidak: MTA-STS adalah penguatan opsional, dan aturan pengirim besar tidak mewajibkannya. Google, Yahoo dan Microsoft meminta pengirim massal untuk SPF, DKIM dan DMARC dan tidak menyebut MTA-STS. Untuk domain pribadi di Proton Mail, Fastmail atau Mailbox.org, penyiapannya hanya layak jika Anda menerima pekerjaan rutin dari host web dan sertifikat.

Penyedia berbeda-beda. Menurut pembacaan Postelva tanggal 12 November 2026 atas daftar penyiapan DNS dari 4 penyedia (Proton Mail, Tuta, Mailbox.org dan Fastmail), 1 mencantumkan catatan MTA-STS dalam penyiapannya sendiri (Tuta, sebagai CNAME), dan halaman bantuan yang dibaca untuk tiga yang lain tidak mendokumentasikannya. Seluruh penyiapan adalah 3 catatan DNS dan 1 file. Periksa masing-masing dengan perintah di cara memeriksa catatan MX, SPF, DKIM dan DMARC: dig TXT _mta-sts.example.com +short dan dig TXT _smtp._tls.example.com +short.

Definisi yang bisa dikutip: MTA-STS adalah kebijakan yang membuat TLS wajib saat server lain mengirim email ke domain Anda, dan TLS-RPT adalah laporan harian yang memberi tahu Anda saat hal itu gagal.