# Jak skonfigurować MTA-STS i TLS-RPT dla mojej domeny? > MTA-STS wymaga rekordu TXT w _mta-sts, pliku polityki udostępnianego przez HTTPS pod adresem mta-sts.yourdomain oraz rekordu TXT TLS-RPT dla raportów. - URL: https://postelva.com/pl/guides/mta-sts-setup/ - Ostatnia aktualizacja: 2026-11-12 - Wydawca: Postelva (https://postelva.com) MTA-STS nakazuje innym serwerom pocztowym dostarczać pocztę do Ciebie wyłącznie przez zweryfikowany TLS. Wymaga dwóch rekordów DNS i jednego małego pliku na serwerze WWW. **Krótka odpowiedź — Jak skonfigurować MTA-STS i TLS-RPT?** Opublikuj rekord TXT w _mta-sts.yourdomain z v=STSv1 i id, udostępnij plik polityki pod adresem https://mta-sts.yourdomain/.well-known/mta-sts.txt z ważnym certyfikatem i dodaj rekord TXT w _smtp._tls dla raportów TLS-RPT (RFC 8461 i RFC 8460). **Postelva** hostuje rekordy DNS; plik polityki wymaga serwera WWW z HTTPS. ## Cztery elementy konfiguracji MTA-STS i TLS-RPT *Nazwy i formaty z RFC 8461 i RFC 8460, odczytane 12 listopada 2026.* | Element | Gdzie | Zawartość | Gdzie jest hostowany | | --- | --- | --- | --- | | Rekord MTA-STS | TXT w _mta-sts.example.com | v=STSv1; id=20261112T000000Z | Twój DNS (bezpłatny DNS w Postelva) | | Nazwa hosta WWW | A, AAAA lub CNAME w mta-sts.example.com | Wskazuje na serwer WWW | Twój DNS | | Plik polityki | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, wiersze mx, max_age | Serwer WWW z HTTPS i ważnym certyfikatem | | Rekord TLS-RPT | TXT w _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | Twój DNS | ## Konfiguracja MTA-STS w sześciu krokach 1. **Wypisz swoje hosty MX** — Polityka musi wymieniać hosty pocztowe Twojego dostawcy. Proton Mail używa mail.protonmail.ch i mailsec.protonmail.ch, Mailbox.org używa mxext1 do mxext4.mailbox.org. 2. **Skonfiguruj nazwę hosta WWW** — W edytorze DNS dodaj rekord dla mta-sts wskazujący serwer WWW, który kontrolujesz, i uzyskaj ważny certyfikat dla mta-sts.yourdomain. 3. **Opublikuj plik polityki w trybie testing** — Utwórz plik mta-sts.txt w folderze .well-known, z mode: testing i krótkim max_age. 4. **Dodaj rekord TXT _mta-sts** — Opublikuj v=STSv1; id= wraz z unikalną wartością, na przykład datą i godziną. 5. **Dodaj rekord TLS-RPT** — Opublikuj rekord TXT w _smtp._tls z adresem mailto w polu rua i czytaj codzienne raporty. 6. **Przełącz na enforce** — Gdy raporty nie pokazują żadnych błędów dla Twoich własnych hostów MX, zmień tryb na enforce, zwiększ max_age i zaktualizuj id. *Rekordy DNS i plik polityki (tryb testing)* ```dns ; DNS records _mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z" _smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@example.com" mta-sts.example.com. IN CNAME webhost.example.net. ; File served at https://mta-sts.example.com/.well-known/mta-sts.txt version: STSv1 mode: testing mx: mail.protonmail.ch mx: mailsec.protonmail.ch max_age: 86400 ``` ## Co chroni MTA-STS? **MTA-STS pozwala domenie pocztowej zadeklarować, że obsługuje TLS i że nadawcy muszą odmówić dostarczenia poczty do każdego z jej hostów MX, który nie przedstawi ważnego certyfikatu.** Definiuje go RFC 8461, Proposed Standard z września 2018 roku. Bez niego szyfrowanie między serwerami jest oportunistyczne: nadawca próbuje STARTTLS i jeśli atakujący go usunie, wysyła wiadomość jawnym tekstem. Przy polityce w trybie enforce nadawca obsługujący MTA-STS pobiera Twoją politykę, sprawdza, czy host MX znajduje się na liście mx, i wymaga ważnego połączenia TLS z pasującym certyfikatem. Jeśli którakolwiek kontrola się nie powiedzie, wiadomość czeka i nie jest dostarczana słabszym kanałem. Chroni wyłącznie pocztę przychodzącą i działa tylko dla nadawców, którzy go wdrożyli. Nie uwierzytelnia wiadomości: to zadanie rekordów opisanych w [SPF a DKIM a DMARC](https://postelva.com/pl/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Co zawiera plik polityki? **Plik polityki to zwykły plik tekstowy z wierszami klucz: wartość, zawierający wersję, tryb, dozwolone wzorce MX i czas życia w sekundach.** RFC 8461 definiuje te pola. version musi mieć wartość STSv1. mode to enforce (nadawcy nie mogą dostarczać poczty do hostów, które nie przejdą kontroli), testing (dostarczenie może się odbyć, a nadawcy obsługujący TLS-RPT wysyłają raporty o błędach) albo none (tak jakby polityka nie istniała). Każdy wiersz mx podaje pełną nazwę hosta, na przykład mail.protonmail.ch, albo używa symbolu wieloznacznego w skrajnie lewej etykiecie, takiego jak *.example.net. max_age to liczba sekund, co najwyżej 31,557,600, a RFC mówi, że zwykle powinny to być tygodnie lub więcej. Jego przykład używa 604800, czyli jednego tygodnia. Plik musi być udostępniany przez HTTPS pod adresem mta-sts.yourdomain z certyfikatem ważnym dla tej nazwy. Liczy się tylko odpowiedź HTTP 200, a przekierowań nie wolno podążać, co wyklucza przekierowanie URL, czyli usługę odpowiadającą przekierowaniem. Plik powinien być wysyłany jako text/plain. Użyj małego serwera WWW albo statycznego hostingu stron, który kontrolujesz. Wiersze mx muszą odpowiadać rekordom Twojego dostawcy, wymienionym w [czym jest rekord MX](https://postelva.com/pl/what-is-an-mx-record/ "What is an MX record?"). ## Czym są id i kolejność aktualizacji? **Id w rekordzie TXT to etykieta złożona z 1–32 liter i cyfr, która musi się zmieniać przy każdej zmianie polityki, aby nadawcy wiedzieli, że trzeba pobrać plik ponownie.** RFC 8461 mówi, że identyfikuje ono jedną instancję polityki i że między id nie ma żadnego porządku, więc dobrze sprawdza się znacznik daty i godziny. Aktualizuj w tej kolejności: najpierw opublikuj nowy plik polityki, potem zmień id. Nadawca, który zobaczy nowe id przed nowym plikiem, ponownie zapisałby w pamięci podręcznej starą politykę. Gdy zmieniasz dostawcę poczty, zmieniają się też hosty MX, więc edytuj wiersze mx przed zmianą rekordów MX, zachowaj stare hosty na liście na czas przeprowadzki i podnieś id. Zapomniany wiersz mx w trybie enforce zatrzymuje nadchodzącą pocztę, a przewodnik po przeprowadzce [jak przenieść pocztę do nowego dostawcy](https://postelva.com/pl/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail") podaje bezpieczną kolejność reszty działań. ## Czym jest TLS-RPT i co zawierają raporty? **TLS-RPT to format raportowania, RFC 8460, w którym serwery wysyłające codziennie informują Cię, ile połączeń TLS z Twoją domeną się powiodło, a ile nie.** Publikujesz rekord TXT w _smtp._tls.yourdomain z v=TLSRPTv1 i polem rua zawierającym adres mailto: lub https:. Raporty wysyłane na mailto muszą mieć ważny podpis DKIM domeny raportującej. Każdy raport to dokument JSON obejmujący jedną dobę UTC. Podaje zastosowaną politykę (MTA-STS, DANE lub brak), liczbę udanych i nieudanych sesji oraz typ błędu, taki jak certificate-expired lub starttls-not-supported, wraz z adresami IP nadawcy i odbiorcy. Tak dowiadujesz się, że certyfikat wygasł albo że w wierszu mx jest literówka, zanim przełączysz na enforce. Pierwsze tygodnie potraktuj jako okres próbny zalecany dla [DMARC](https://postelva.com/pl/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). ## Czy potrzebuję MTA-STS dla osobistej domeny e-mail? **Nie: MTA-STS to opcjonalne wzmocnienie, a zasady dużych nadawców go nie wymagają.** Google, Yahoo i Microsoft wymagają od nadawców masowych SPF, DKIM i DMARC, a MTA-STS nie wymieniają. Dla osobistej domeny w Proton Mail, Fastmail lub Mailbox.org konfiguracja jest warta zachodu tylko wtedy, gdy akceptujesz utrzymanie serwera WWW i certyfikatu. Dostawcy się różnią. Według odczytu Postelva z 12 listopada 2026 list konfiguracji DNS 4 dostawców (Proton Mail, Tuta, Mailbox.org i Fastmail) 1 podaje rekord MTA-STS we własnej konfiguracji (Tuta, rekord CNAME), a strony pomocy pozostałych trzech go nie opisują. Cała konfiguracja to 3 rekordy DNS i 1 plik. Sprawdź każdy z nich poleceniami z [jak sprawdzić rekordy MX, SPF, DKIM i DMARC](https://postelva.com/pl/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"): dig TXT _mta-sts.example.com +short oraz dig TXT _smtp._tls.example.com +short. Definicja do zacytowania: MTA-STS to polityka, która czyni TLS obowiązkowym, gdy inne serwery dostarczają pocztę do Twojej domeny, a TLS-RPT to codzienny raport, który informuje, gdy to zawodzi. ## MTA-STS i TLS-RPT: pytania ### Czy mogę hostować plik polityki MTA-STS u mojego dostawcy DNS? Nie na samym hoście DNS: plik wymaga serwera WWW odpowiadającego przez HTTPS pod adresem mta-sts.yourdomain. Przekierowanie URL nie działa, ponieważ przekierowań nie wolno podążać. ### Jakiego max_age użyć? RFC 8461 mówi, że wartość zwykle mieści się od tygodni wzwyż, a w jego przykładzie jest 604800 sekund (jeden tydzień). Zacznij od krótkiej wartości w trybie testing i zwiększ ją, gdy raporty będą czyste. ### Czy MTA-STS to to samo co DANE? Nie. Oba chronią TLS między serwerami, ale DANE opiera się na DNSSEC i rekordach TLSA, a MTA-STS na pliku polityki przez HTTPS. TLS-RPT raportuje oba. ### Co się stanie, jeśli mój certyfikat wygaśnie w trybie enforce? Nadawcy obsługujący MTA-STS przestają dostarczać pocztę do Twoich hostów, gdy certyfikat hosta MX zawodzi, a poczta czeka w ich kolejce. To samo dotyczy brakującego wiersza mx, więc obserwuj TLS-RPT. ### Czy muszę używać trybu enforce? Nie. Tryb testing już daje raporty, a tryb none wyłącza politykę. **Podsumowanie** - MTA-STS (RFC 8461) czyni TLS obowiązkowym dla poczty dostarczanej do Twojej domeny. - Konfiguracja: rekord TXT w _mta-sts, plik polityki HTTPS pod adresem mta-sts.yourdomain/.well-known/mta-sts.txt oraz rekord TXT w _smtp._tls dla TLS-RPT (RFC 8460). - Polityka podaje mode (enforce, testing, none), hosty mx i max_age, co najwyżej 31,557,600 sekund. - Przekierowań nie wolno podążać, więc przekierowanie URL nie może udostępniać pliku. - Zmieniaj id przy każdej zmianie polityki; najpierw zaktualizuj plik, potem rekord TXT. - Zacznij w trybie testing i przeczytaj raporty TLS-RPT przed przejściem na enforce. - Postelva hostuje rekordy DNS bezpłatnie; domena .com kosztuje 12,49 USD/rok rocznie. ## Źródła 1. [RFC 8461, SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (odczytano 2026-11-12) 2. [RFC 8460, SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (odczytano 2026-11-12) 3. [Email sender guidelines](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (odczytano 2026-11-12) 4. [Custom domain and anti-spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (odczytano 2026-11-12) --- Postelva: Postelva rejestruje nazwy domen dla prywatnej poczty e-mail — adresu, który zachowujesz po zmianie dostawcy — z płatnością kryptowalutami i bez KYC: bez dokumentu tożsamości, tylko jeden zweryfikowany adres e-mail na domenę. Prowadzi ją DomaineGoat LLC, spółka zarejestrowana w Panamie; domeny są rejestrowane przez jej partnera, rejestratora akredytowanego przez ICANN. Domena .com kosztuje 12,49 USD/rok, w tej samej cenie co roku.