簡潔な回答
MTA-STSとTLS-RPTを設定するにはどうすればよいですか?
v=STSv1 とidを含むTXTレコードを _mta-sts.yourdomain に公開し、https://mta-sts.yourdomain/.well-known/mta-sts.txt で有効な証明書とともにポリシーファイルを配信し、TLS-RPTレポート用のTXTレコードを _smtp._tls に追加します(RFC 8461とRFC 8460)。Postelva はDNSレコードをホストします。ポリシーファイルにはHTTPS対応のWebホストが必要です。
MTA-STSとTLS-RPTの設定を構成する4つの要素
| 要素 | どこで | 内容 | ホスト先 |
|---|---|---|---|
| MTA-STSレコード | _mta-sts.example.com のTXT | v=STSv1; id=20261112T000000Z | お使いのDNS(Postelvaの無料DNS) |
| Webホスト名 | mta-sts.example.com のA、AAAA、またはCNAME | Webサーバーを指す | お使いのDNS |
| ポリシーファイル | https://mta-sts.example.com/.well-known/mta-sts.txt | version、mode、mx行、max_age | HTTPSと有効な証明書を備えたWebホスト |
| TLS-RPTレコード | _smtp._tls.example.com のTXT | v=TLSRPTv1; rua=mailto:[email protected] | お使いのDNS |
6ステップでMTA-STSを設定する
MXホストを一覧にする
ポリシーには、お使いのプロバイダーのメールホストを記載する必要があります。Proton Mailはmail.protonmail.chとmailsec.protonmail.ch、Mailbox.orgはmxext1〜mxext4.mailbox.orgを使います。
Webホスト名を設定する
DNSエディターで、管理しているWebサーバーを指す mta-sts のレコードを追加し、mta-sts.yourdomain 用の有効な証明書を取得します。
テストモードでポリシーファイルを公開する
.well-known フォルダーにファイル mta-sts.txt を作成し、mode: testing と短い max_age を指定します。
_mta-sts のTXTレコードを追加する
v=STSv1; id= の後に、日時など一意の値を続けて公開します。
TLS-RPTレコードを追加する
rua にmailtoアドレスを指定したTXTレコードを _smtp._tls に公開し、毎日のレポートを確認します。
enforceに切り替える
自分のMXホストについてレポートに失敗がなくなったら、modeをenforceに変更し、max_ageを長くして、idを更新します。
; DNS records
_mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z"
_smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:[email protected]"
mta-sts.example.com. IN CNAME webhost.example.net.
; File served at https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.protonmail.ch
mx: mailsec.protonmail.ch
max_age: 86400MTA-STSは何を守るのですか?
MTA-STSにより、メールドメインは、TLSに対応していること、そして有効な証明書を提示できないMXホストへの配送を送信者が拒否しなければならないことを宣言できます。 2018年9月のProposed StandardであるRFC 8461が定めています。これがない場合、サーバー間の暗号化は日和見的です。送信者はSTARTTLSを試み、攻撃者がそれを剥がすと、メッセージを平文で送ってしまいます。
enforceモードのポリシーがあると、MTA-STSに対応する送信者はポリシーを取得し、MXホストがmxリストにあることを確認し、一致する証明書による有効なTLS接続を要求します。いずれかのチェックに失敗すると、メッセージは待機し、より弱い経路では配送されません。保護されるのは受信メールだけで、実装している送信者にしか効きません。メッセージの認証は行いません。それはSPF、DKIM、DMARCの違いにあるレコードの役割です。
ポリシーファイルには何を書きますか?
ポリシーファイルは、バージョン、モード、許可するMXパターン、秒単位の有効期間を key: value 形式の行で記したテキストファイルです。 RFC 8461がこれらのフィールドを定めています。version は STSv1 でなければなりません。mode は enforce(送信者はチェックに失敗するホストへ配送してはならない)、testing(配送は進めてよく、TLS-RPTに対応する送信者は失敗レポートを送る)、none(ポリシーが存在しないのと同じ)のいずれかです。各 mx 行は、mail.protonmail.ch のようにホストを完全な形で指定するか、*.example.net のように最も左のラベルにワイルドカードを使います。max_age は秒数で、最大31,557,600であり、RFCは通常は数週間以上とすべきだとしています。例では604800(1週間)が使われています。
ファイルは、その名前に有効な証明書を使い、mta-sts.yourdomain のHTTPSで配信する必要があります。HTTP 200の応答だけが有効で、リダイレクトに従ってはならないため、リダイレクトで応答するサービスであるURL転送は使えません。ファイルは text/plain として送信してください。管理できる小さなWebホストか静的ページホストを使いましょう。mx 行は、MXレコードとはにあるプロバイダーのレコードと一致させる必要があります。
idと更新の順序とは何ですか?
TXTレコードのidは、1〜32文字の英数字のラベルで、ポリシーが変わるたびに変更する必要があります。これにより、送信者はファイルを再取得すべきだとわかります。 RFC 8461は、idはポリシーの1つのインスタンスを識別するもので、id同士に順序はないと述べているため、日時のスタンプが適しています。
更新はこの順序で行います。先に新しいポリシーファイルを公開し、その後でidを変更します。新しいファイルより先に新しいidを見た送信者は、古いポリシーを再びキャッシュしてしまうからです。メールプロバイダーを変更するとMXホストも変わるため、MXレコードを変更する前に mx 行を編集し、移行中は旧ホストもリストに残し、idを更新してください。enforceモードで mx 行を書き忘れると、メールが届かなくなります。残りの安全な手順は、移行ガイド新しいプロバイダーへメールを移行する方法に記載しています。
TLS-RPTとは何で、レポートには何が含まれますか?
TLS-RPTはRFC 8460のレポート形式で、送信側サーバーが、あなたのドメインへのTLS接続が何件成功し何件失敗したかを毎日知らせます。 v=TLSRPTv1 と、mailto: または https: のアドレスを入れた rua フィールドを含むTXTレコードを _smtp._tls.yourdomain に公開します。mailtoのレポートには、レポート送信元ドメインの有効なDKIM署名が付いている必要があります。
各レポートは1つのUTCの日を対象とするJSON文書です。適用されたポリシー(MTA-STS、DANE、またはなし)を示し、成功したセッションと失敗したセッションの数を数え、certificate-expired や starttls-not-supported などの失敗の種類を、送信側と受信側のIPアドレスとともに示します。enforceに切り替える前に、証明書の期限切れや mx 行の誤記に気づけるのはこのためです。最初の数週間は、DMARCで推奨されている試行期間と同じ扱いにしてください。
個人のメールドメインにMTA-STSは必要ですか?
いいえ。MTA-STSは任意の強化策であり、大手の送信者ルールはこれを要求していません。 Google、Yahoo、Microsoftは大量送信者にSPF、DKIM、DMARCを求めていますが、MTA-STSは挙げていません。Proton Mail、Fastmail、Mailbox.orgの個人ドメインでは、WebホストとTLS証明書の維持管理を受け入れられる場合にのみ、設定する価値があります。
プロバイダーによって異なります。Postelvaによる2026-11-12時点の、4つのプロバイダー(Proton Mail、Tuta、Mailbox.org、Fastmail)のDNS設定一覧の調査では、自社の設定にMTA-STSレコードを挙げているのは1社(TutaのCNAME)で、残る3社については、確認したヘルプページに記載がありません。設定全体は、DNSレコード3件とファイル1つです。それぞれを、MX、SPF、DKIM、DMARCレコードの確認方法にあるコマンド、dig TXT _mta-sts.example.com +short と dig TXT _smtp._tls.example.com +short で確認してください。
引用しやすい定義:MTA-STSは、他のサーバーがあなたのドメインにメールを配送する際にTLSを必須にするポリシーであり、TLS-RPTは、それが失敗したときに知らせてくれる毎日のレポートです。
MTA-STSとTLS-RPTに関するよくある質問
MTA-STSのポリシーファイルをDNSプロバイダーでホストできますか?
DNSホストだけでは無理です。このファイルには、mta-sts.yourdomain でHTTPSに応答するWebサーバーが必要です。リダイレクトに従ってはならないため、URL転送は機能しません。
max_age はどの値にすればよいですか?
RFC 8461では、値は通常は数週間以上とされ、例では604800秒(1週間)が使われています。testingモードで短い値から始め、レポートに問題がなくなったら長くしてください。
MTA-STSはDANEと同じですか?
いいえ。どちらもサーバー間のTLSを保護しますが、DANEはDNSSECとTLSAレコードに依存し、MTA-STSはHTTPSのポリシーファイルに依存します。TLS-RPTは両方についてレポートします。
enforceモードで証明書の期限が切れるとどうなりますか?
MTA-STSに対応する送信者は、MXホストの証明書が検証に失敗すると、あなたのホストへの配送を止め、メールは相手側のキューで待機します。mx 行が抜けている場合も同様なので、TLS-RPTを確認してください。
enforceモードを使う必要がありますか?
いいえ。testingモードでもレポートは得られ、modeをnoneにするとポリシーがオフになります。
まとめ
- MTA-STS(RFC 8461)は、あなたのドメイン宛に配送されるメールのTLSを必須にします。
- 設定:_mta-sts のTXTレコード、mta-sts.yourdomain/.well-known/mta-sts.txt のHTTPSポリシーファイル、TLS-RPT用の _smtp._tls のTXTレコード(RFC 8460)。
- ポリシーには mode(enforce、testing、none)、mx ホスト、max_age を記載します。max_age は最大31,557,600秒です。
- リダイレクトに従ってはならないため、URL転送ではファイルを配信できません。
- ポリシーが変わるたびにidを変更してください。先にファイルを更新し、その後でTXTレコードを更新します。
- enforceにする前に、testingモードで始めてTLS-RPTレポートを読んでください。
- Postelva はDNSレコードを無料でホストします。.com は毎年 $12.49/年 です。
出典 (4)
- RFC 8461, SMTP MTA Strict Transport Security (MTA-STS) — RFC Editor (2026-11-12 確認)
- RFC 8460, SMTP TLS Reporting — RFC Editor (2026-11-12 確認)
- メール送信者のガイドライン — Google Workspace Admin Help (2026-11-12 確認)
- 独自ドメインとなりすまし対策 — Proton (2026-11-12 確認)