# Come configuro MTA-STS e TLS-RPT per il mio dominio? > MTA-STS richiede un record TXT su _mta-sts, un file di policy servito via HTTPS su mta-sts.iltuodominio e un record TXT TLS-RPT per i report. - URL: https://postelva.com/it/guides/mta-sts-setup/ - Ultimo aggiornamento: 2026-11-12 - Editore: Postelva (https://postelva.com) MTA-STS indica agli altri server di posta di consegnarle la posta solo tramite TLS verificato. Richiede due record DNS e un piccolo file su un web host. **Risposta rapida — Come configuro MTA-STS e TLS-RPT?** Pubblichi un record TXT su _mta-sts.yourdomain con v=STSv1 e un id, serva un file di policy su https://mta-sts.yourdomain/.well-known/mta-sts.txt con un certificato valido e aggiunga un record TXT su _smtp._tls per i report TLS-RPT (RFC 8461 e RFC 8460). **Postelva** ospita i record DNS; il file di policy richiede un web host HTTPS. ## I quattro elementi di una configurazione MTA-STS e TLS-RPT *Nomi e formati dalle RFC 8461 e RFC 8460, letti il 12 novembre 2026.* | Elemento | Dove | Contenuto | Ospitato su | | --- | --- | --- | --- | | Record MTA-STS | TXT su _mta-sts.example.com | v=STSv1; id=20261112T000000Z | Il suo DNS (DNS gratuito su Postelva) | | Nome host web | A, AAAA o CNAME su mta-sts.example.com | Punta a un web server | Il suo DNS | | File di policy | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, righe mx, max_age | Un web host con HTTPS e un certificato valido | | Record TLS-RPT | TXT su _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | Il suo DNS | ## Configurare MTA-STS in sei passaggi 1. **Elencare gli host MX** — La policy deve indicare gli host di posta del suo provider. Proton Mail usa mail.protonmail.ch e mailsec.protonmail.ch, Mailbox.org usa da mxext1 a mxext4.mailbox.org. 2. **Configurare il nome host web** — Nell'editor DNS aggiunga un record per mta-sts che punti a un web server da lei controllato e ottenga un certificato valido per mta-sts.yourdomain. 3. **Pubblicare il file di policy in modalità testing** — Crei il file mta-sts.txt nella cartella .well-known, con mode: testing e un max_age breve. 4. **Aggiungere il record TXT _mta-sts** — Pubblichi v=STSv1; id= seguito da un valore univoco, come la data e l'ora. 5. **Aggiungere il record TLS-RPT** — Pubblichi il record TXT su _smtp._tls con un indirizzo mailto in rua e legga i report giornalieri. 6. **Passare a enforce** — Quando i report non mostrano alcun errore per i suoi host MX, porti la modalità su enforce, aumenti max_age e aggiorni l'id. *Record DNS e file di policy (modalità testing)* ```dns ; DNS records _mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z" _smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@example.com" mta-sts.example.com. IN CNAME webhost.example.net. ; File served at https://mta-sts.example.com/.well-known/mta-sts.txt version: STSv1 mode: testing mx: mail.protonmail.ch mx: mailsec.protonmail.ch max_age: 86400 ``` ## Che cosa protegge MTA-STS? **MTA-STS permette a un dominio di posta di dichiarare che supporta TLS e che i mittenti devono rifiutare la consegna a qualsiasi suo host MX che non sia in grado di presentare un certificato valido.** È definito dalla RFC 8461, uno Proposed Standard del settembre 2018. Senza di esso, la cifratura tra server è opportunistica: un mittente prova STARTTLS e, se un attaccante lo elimina, invia il messaggio in chiaro. Con una policy in modalità enforce, un mittente che supporta MTA-STS recupera la sua policy, verifica che l'host MX compaia nell'elenco mx e richiede una connessione TLS valida con un certificato corrispondente. Se un controllo fallisce, il messaggio resta in attesa e non viene consegnato su un canale più debole. Protegge solo la posta in entrata e funziona solo con i mittenti che lo implementano. Non autentica i messaggi: è compito dei record descritti in [SPF vs DKIM vs DMARC](https://postelva.com/it/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Che cosa contiene il file di policy? **Il file di policy è un file di testo semplice con righe chiave: valore che indicano la versione, la modalità, i pattern MX consentiti e una durata in secondi.** La RFC 8461 definisce questi campi. version deve essere STSv1. mode è enforce (i mittenti non devono consegnare agli host che non superano i controlli), testing (la consegna può procedere e i mittenti che supportano TLS-RPT inviano report sugli errori) oppure none (come se non esistesse alcuna policy). Ogni riga mx indica un host per esteso, per esempio mail.protonmail.ch, oppure usa un carattere jolly sull'etichetta più a sinistra, come *.example.net. max_age è un numero di secondi, al massimo 31,557,600, e la RFC afferma che dovrebbe essere tipicamente di settimane o più. Il suo esempio usa 604800, una settimana. Il file deve essere servito via HTTPS su mta-sts.yourdomain con un certificato valido per quel nome. Conta solo una risposta HTTP 200 e i reindirizzamenti non devono essere seguiti, il che esclude l'inoltro URL, un servizio che risponde con un reindirizzamento. Il file dovrebbe essere inviato come text/plain. Usi un piccolo web host o un host di pagine statiche da lei controllato. Le righe mx devono corrispondere ai record del suo provider, come elencati in [che cos'è un record MX](https://postelva.com/it/what-is-an-mx-record/ "What is an MX record?"). ## Che cosa sono l'id e l'ordine di aggiornamento? **L'id nel record TXT è un'etichetta di 1–32 lettere e cifre che deve cambiare ogni volta che cambia la policy, in modo che i mittenti sappiano di dover scaricare di nuovo il file.** La RFC 8461 afferma che identifica una singola istanza di una policy e che tra gli id non esiste alcun ordine, quindi un timestamp con data e ora funziona bene. Aggiorni in quest'ordine: pubblichi prima il nuovo file di policy, poi cambi l'id. Un mittente che vedesse il nuovo id prima del nuovo file metterebbe di nuovo in cache la vecchia policy. Quando cambia provider di posta, cambiano anche gli host MX, quindi modifichi le righe mx prima di cambiare i record MX, tenga i vecchi host nell'elenco durante la migrazione e incrementi l'id. Una riga mx dimenticata in modalità enforce impedisce l'arrivo della posta, e la guida alla migrazione [come spostare la posta su un nuovo provider](https://postelva.com/it/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail") indica l'ordine sicuro per il resto. ## Che cos'è TLS-RPT e che cosa contengono i report? **TLS-RPT è un formato di reportistica, la RFC 8460, con cui i server mittenti le comunicano ogni giorno quante connessioni TLS verso il suo dominio sono riuscite o fallite.** Pubblichi un record TXT su _smtp._tls.yourdomain con v=TLSRPTv1 e un campo rua che contiene un indirizzo mailto: o https:. I report via mailto devono avere una firma DKIM valida del dominio che li invia. Ogni report è un documento JSON relativo a un giorno UTC. Indica la policy applicata (MTA-STS, DANE o nessuna), conta le sessioni riuscite e fallite e fornisce il tipo di errore, come certificate-expired o starttls-not-supported, con gli indirizzi IP del mittente e del destinatario. È così che scopre che un certificato è scaduto o che una riga mx contiene un errore di battitura, prima di passare a enforce. Consideri le prime settimane come il periodo di prova raccomandato per [DMARC](https://postelva.com/it/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). ## Mi serve MTA-STS per un dominio e-mail personale? **No: MTA-STS è un rafforzamento facoltativo e le regole dei grandi mittenti non lo richiedono.** Google, Yahoo e Microsoft chiedono ai mittenti di massa SPF, DKIM e DMARC e non elencano MTA-STS. Per un dominio personale presso Proton Mail, Fastmail o Mailbox.org, la configurazione vale la pena solo se accetta la manutenzione di un web host e di un certificato. I provider differiscono. Secondo la lettura di Postelva del 12 novembre 2026 degli elenchi di configurazione DNS di 4 provider (Proton Mail, Tuta, Mailbox.org e Fastmail), 1 elenca un record MTA-STS nella propria configurazione (Tuta, un CNAME), e le pagine di assistenza lette per gli altri tre non ne documentano alcuno. L'intera configurazione richiede 3 record DNS e 1 file. Verifichi ciascuno con i comandi descritti in [come verificare i record MX, SPF, DKIM e DMARC](https://postelva.com/it/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"): dig TXT _mta-sts.example.com +short e dig TXT _smtp._tls.example.com +short. Una definizione citabile: MTA-STS è la policy che rende obbligatorio TLS quando altri server consegnano posta al suo dominio, e TLS-RPT è il report giornaliero che le segnala quando questo non funziona. ## Domande su MTA-STS e TLS-RPT ### Posso ospitare il file di policy MTA-STS presso il mio provider DNS? Non solo presso un host DNS: il file richiede un web server che risponda via HTTPS su mta-sts.yourdomain. L'inoltro URL non funziona, perché i reindirizzamenti non devono essere seguiti. ### Quale max_age devo usare? La RFC 8461 afferma che il valore va tipicamente da alcune settimane in su, con 604800 secondi (una settimana) nel suo esempio. Inizi con un valore breve in modalità testing e lo aumenti quando i report sono puliti. ### MTA-STS è la stessa cosa di DANE? No. Entrambi proteggono il TLS tra server, ma DANE si basa su DNSSEC e sui record TLSA, mentre MTA-STS si basa su un file di policy HTTPS. TLS-RPT riporta su entrambi. ### Che cosa succede se il mio certificato scade in modalità enforce? I mittenti che supportano MTA-STS smettono di consegnare ai suoi host quando il certificato di un host MX non è valido, e la posta resta in attesa nella loro coda. Lo stesso vale per una riga mx mancante, quindi tenga d'occhio TLS-RPT. ### Devo usare la modalità enforce? No. La modalità testing le fornisce già i report, e la modalità none disattiva la policy. **In sintesi** - MTA-STS (RFC 8461) rende obbligatorio TLS per la posta consegnata al suo dominio. - Configurazione: un record TXT su _mta-sts, un file di policy HTTPS su mta-sts.yourdomain/.well-known/mta-sts.txt e un record TXT su _smtp._tls per TLS-RPT (RFC 8460). - La policy elenca mode (enforce, testing, none), gli host mx e max_age, al massimo 31,557,600 secondi. - I reindirizzamenti non devono essere seguiti, quindi l'inoltro URL non può servire il file. - Cambi l'id a ogni modifica della policy; aggiorni prima il file, poi il record TXT. - Inizi in modalità testing e legga i report TLS-RPT prima di passare a enforce. - Postelva ospita gratuitamente i record DNS; un .com costa 12,49 USD/anno ogni anno. ## Fonti 1. [RFC 8461, SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (consultato il 2026-11-12) 2. [RFC 8460, SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (consultato il 2026-11-12) 3. [Email sender guidelines](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (consultato il 2026-11-12) 4. [Custom domain and anti-spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (consultato il 2026-11-12) --- Postelva: Postelva registra nomi di dominio per l'email privata — l'indirizzo che si conserva quando si cambia provider — pagati in crypto e senza KYC: nessun documento d'identità, solo un'email verificata per dominio. È gestita da DomaineGoat LLC, una società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.