Cum configurez MTA-STS și TLS-RPT pentru domeniul meu?

Ce protejează MTA-STS?

MTA-STS permite unui domeniu de mail să declare că suportă TLS și că expeditorii trebuie să refuze livrarea către oricare dintre gazdele MX care nu pot prezenta un certificat valid. RFC 8461, un standard propus din septembrie 2018, îl definește. Fără el, criptarea între servere este oportunistă: un expeditor încearcă STARTTLS și, dacă un atacator îl elimină, trimite mesajul în text clar.

Cu o politică în modul enforce, un expeditor care suportă MTA-STS îi preia politica, verifică dacă gazda MX apare în lista mx și cere o conexiune TLS validă cu un certificat care se potrivește. Dacă un control eșuează, mesajul așteaptă și nu este livrat printr-un canal mai slab. Protejează doar e-mailul primit și funcționează doar pentru expeditorii care îl implementează. Nu autentifică mesajele: aceasta este sarcina înregistrărilor din SPF vs DKIM vs DMARC.

Ce intră în fișierul de politică?

Fișierul de politică este un fișier text simplu cu linii de tip cheie: valoare, care conțin versiunea, modul, modelele MX permise și o durată de viață în secunde. RFC 8461 definește aceste câmpuri. version trebuie să fie STSv1. mode este enforce (expeditorii nu trebuie să livreze la gazde care nu trec verificările), testing (livrarea poate continua, iar expeditorii care suportă TLS-RPT trimit rapoarte de eșec) sau none (ca și cum nu ar exista nicio politică). Fiecare linie mx numește o gazdă integral, de exemplu mail.protonmail.ch, sau folosește un wildcard pe eticheta din stânga, precum *.example.net. max_age este un număr de secunde, cel mult 31.557.600, iar RFC spune că ar trebui să fie de obicei săptămâni sau mai mult. Exemplul său folosește 604800, adică o săptămână.

Fișierul trebuie servit prin HTTPS la mta-sts.yourdomain, cu un certificat valid pentru acel nume. Doar un răspuns HTTP 200 contează, iar redirecționările nu trebuie urmate, ceea ce exclude redirecționarea URL, adică un serviciu care răspunde cu o redirecționare. Fișierul trebuie trimis ca text/plain. Folosiți o gazdă web mică sau o gazdă de pagini statice pe care o controlați. Liniile mx trebuie să corespundă înregistrărilor furnizorului dvs., așa cum sunt listate în ce este o înregistrare MX.

Care sunt id-ul și ordinea de actualizare?

Id-ul din înregistrarea TXT este o etichetă de 1 până la 32 de litere și cifre care trebuie să se schimbe ori de câte ori se schimbă politica, astfel încât expeditorii să știe că trebuie să preia din nou fișierul. RFC 8461 spune că identifică o instanță a unei politici și că nu există ordine între id-uri, deci un marcaj dată-oră funcționează bine.

Actualizați în această ordine: publicați întâi noul fișier de politică, apoi schimbați id-ul. Un expeditor care vede noul id înainte de noul fișier ar memora din nou politica veche. Când schimbați furnizorul de e-mail, se schimbă și gazdele MX, deci editați liniile mx înainte de a modifica înregistrările MX, păstrați gazdele vechi în listă în timpul mutării și măriți id-ul. O linie mx uitată în modul enforce oprește sosirea mesajelor, iar ghidul cum mutați e-mailul la un furnizor nou oferă ordinea sigură pentru restul.

Ce este TLS-RPT și ce conțin rapoartele?

TLS-RPT este un format de raportare, RFC 8460, prin care serverele expeditoare vă spun zilnic câte conexiuni TLS către domeniul dvs. au reușit sau au eșuat. Publicați o înregistrare TXT la _smtp._tls.yourdomain cu v=TLSRPTv1 și un câmp rua care conține o adresă mailto: sau https:. Rapoartele mailto trebuie să aibă o semnătură DKIM validă din domeniul care raportează.

Fiecare raport este un document JSON care acoperă o zi UTC. Numește politica aplicată (MTA-STS, DANE sau none), numără sesiunile reușite și eșuate și indică tipul eșecului, precum certificate-expired sau starttls-not-supported, cu adresele IP ale expeditorului și ale destinatarului. Așa aflați că un certificat a expirat sau că o linie mx are o greșeală de scriere, înainte să treceți la enforce. Tratați primele săptămâni ca perioada de probă recomandată pentru DMARC.

Am nevoie de MTA-STS pentru un domeniu de e-mail personal?

Nu: MTA-STS este o întărire opțională, iar regulile expeditorilor mari nu îl cer. Google, Yahoo și Microsoft cer expeditorilor în masă SPF, DKIM și DMARC și nu enumeră MTA-STS. Pentru un domeniu personal la Proton Mail, Fastmail sau Mailbox.org, configurarea merită doar dacă acceptați întreținerea unei gazde web și a unui certificat.

Furnizorii diferă. Potrivit citirii Postelva din 12 noiembrie 2026 a listelor de configurare DNS a 4 furnizori (Proton Mail, Tuta, Mailbox.org și Fastmail), 1 listează o înregistrare MTA-STS în propria configurare (Tuta, un CNAME), iar paginile de ajutor citite pentru ceilalți trei nu documentează niciuna. Configurarea completă înseamnă 3 înregistrări DNS și 1 fișier. Verificați fiecare cu comenzile din cum verificați înregistrările MX, SPF, DKIM și DMARC: dig TXT _mta-sts.example.com +short și dig TXT _smtp._tls.example.com +short.

O definiție citabilă: MTA-STS este politica ce face TLS obligatoriu când alte servere livrează e-mail domeniului dvs., iar TLS-RPT este raportul zilnic care vă spune când eșuează.