Jak skonfigurować MTA-STS i TLS-RPT dla mojej domeny?

Co chroni MTA-STS?

MTA-STS pozwala domenie pocztowej zadeklarować, że obsługuje TLS i że nadawcy muszą odmówić dostarczenia poczty do każdego z jej hostów MX, który nie przedstawi ważnego certyfikatu. Definiuje go RFC 8461, Proposed Standard z września 2018 roku. Bez niego szyfrowanie między serwerami jest oportunistyczne: nadawca próbuje STARTTLS i jeśli atakujący go usunie, wysyła wiadomość jawnym tekstem.

Przy polityce w trybie enforce nadawca obsługujący MTA-STS pobiera Twoją politykę, sprawdza, czy host MX znajduje się na liście mx, i wymaga ważnego połączenia TLS z pasującym certyfikatem. Jeśli którakolwiek kontrola się nie powiedzie, wiadomość czeka i nie jest dostarczana słabszym kanałem. Chroni wyłącznie pocztę przychodzącą i działa tylko dla nadawców, którzy go wdrożyli. Nie uwierzytelnia wiadomości: to zadanie rekordów opisanych w SPF a DKIM a DMARC.

Co zawiera plik polityki?

Plik polityki to zwykły plik tekstowy z wierszami klucz: wartość, zawierający wersję, tryb, dozwolone wzorce MX i czas życia w sekundach. RFC 8461 definiuje te pola. version musi mieć wartość STSv1. mode to enforce (nadawcy nie mogą dostarczać poczty do hostów, które nie przejdą kontroli), testing (dostarczenie może się odbyć, a nadawcy obsługujący TLS-RPT wysyłają raporty o błędach) albo none (tak jakby polityka nie istniała). Każdy wiersz mx podaje pełną nazwę hosta, na przykład mail.protonmail.ch, albo używa symbolu wieloznacznego w skrajnie lewej etykiecie, takiego jak *.example.net. max_age to liczba sekund, co najwyżej 31,557,600, a RFC mówi, że zwykle powinny to być tygodnie lub więcej. Jego przykład używa 604800, czyli jednego tygodnia.

Plik musi być udostępniany przez HTTPS pod adresem mta-sts.yourdomain z certyfikatem ważnym dla tej nazwy. Liczy się tylko odpowiedź HTTP 200, a przekierowań nie wolno podążać, co wyklucza przekierowanie URL, czyli usługę odpowiadającą przekierowaniem. Plik powinien być wysyłany jako text/plain. Użyj małego serwera WWW albo statycznego hostingu stron, który kontrolujesz. Wiersze mx muszą odpowiadać rekordom Twojego dostawcy, wymienionym w czym jest rekord MX.

Czym są id i kolejność aktualizacji?

Id w rekordzie TXT to etykieta złożona z 1–32 liter i cyfr, która musi się zmieniać przy każdej zmianie polityki, aby nadawcy wiedzieli, że trzeba pobrać plik ponownie. RFC 8461 mówi, że identyfikuje ono jedną instancję polityki i że między id nie ma żadnego porządku, więc dobrze sprawdza się znacznik daty i godziny.

Aktualizuj w tej kolejności: najpierw opublikuj nowy plik polityki, potem zmień id. Nadawca, który zobaczy nowe id przed nowym plikiem, ponownie zapisałby w pamięci podręcznej starą politykę. Gdy zmieniasz dostawcę poczty, zmieniają się też hosty MX, więc edytuj wiersze mx przed zmianą rekordów MX, zachowaj stare hosty na liście na czas przeprowadzki i podnieś id. Zapomniany wiersz mx w trybie enforce zatrzymuje nadchodzącą pocztę, a przewodnik po przeprowadzce jak przenieść pocztę do nowego dostawcy podaje bezpieczną kolejność reszty działań.

Czym jest TLS-RPT i co zawierają raporty?

TLS-RPT to format raportowania, RFC 8460, w którym serwery wysyłające codziennie informują Cię, ile połączeń TLS z Twoją domeną się powiodło, a ile nie. Publikujesz rekord TXT w _smtp._tls.yourdomain z v=TLSRPTv1 i polem rua zawierającym adres mailto: lub https:. Raporty wysyłane na mailto muszą mieć ważny podpis DKIM domeny raportującej.

Każdy raport to dokument JSON obejmujący jedną dobę UTC. Podaje zastosowaną politykę (MTA-STS, DANE lub brak), liczbę udanych i nieudanych sesji oraz typ błędu, taki jak certificate-expired lub starttls-not-supported, wraz z adresami IP nadawcy i odbiorcy. Tak dowiadujesz się, że certyfikat wygasł albo że w wierszu mx jest literówka, zanim przełączysz na enforce. Pierwsze tygodnie potraktuj jako okres próbny zalecany dla DMARC.

Czy potrzebuję MTA-STS dla osobistej domeny e-mail?

Nie: MTA-STS to opcjonalne wzmocnienie, a zasady dużych nadawców go nie wymagają. Google, Yahoo i Microsoft wymagają od nadawców masowych SPF, DKIM i DMARC, a MTA-STS nie wymieniają. Dla osobistej domeny w Proton Mail, Fastmail lub Mailbox.org konfiguracja jest warta zachodu tylko wtedy, gdy akceptujesz utrzymanie serwera WWW i certyfikatu.

Dostawcy się różnią. Według odczytu Postelva z 12 listopada 2026 list konfiguracji DNS 4 dostawców (Proton Mail, Tuta, Mailbox.org i Fastmail) 1 podaje rekord MTA-STS we własnej konfiguracji (Tuta, rekord CNAME), a strony pomocy pozostałych trzech go nie opisują. Cała konfiguracja to 3 rekordy DNS i 1 plik. Sprawdź każdy z nich poleceniami z jak sprawdzić rekordy MX, SPF, DKIM i DMARC: dig TXT _mta-sts.example.com +short oraz dig TXT _smtp._tls.example.com +short.

Definicja do zacytowania: MTA-STS to polityka, która czyni TLS obowiązkowym, gdy inne serwery dostarczają pocztę do Twojej domeny, a TLS-RPT to codzienny raport, który informuje, gdy to zawodzi.