Как настроить MTA-STS и TLS-RPT для моего домена?

Что защищает MTA-STS?

MTA-STS позволяет почтовому домену заявить, что он поддерживает TLS и что отправители должны отказываться от доставки на любой из его хостов MX, не способный предъявить действительный сертификат. Он определён в RFC 8461, Proposed Standard от сентября 2018 года. Без него шифрование между серверами оппортунистическое: отправитель пытается использовать STARTTLS и, если злоумышленник его отключит, отправляет письмо открытым текстом.

При политике в режиме enforce отправитель, поддерживающий MTA-STS, получает вашу политику, проверяет, что хост MX указан в списке mx, и требует действительного TLS-соединения с соответствующим сертификатом. Если любая проверка не пройдена, письмо ждёт и не доставляется по менее защищённому каналу. Он защищает только входящую почту и работает только для отправителей, которые его реализуют. Он не аутентифицирует сообщения: это задача записей из статьи SPF, DKIM и DMARC: в чём разница.

Что входит в файл политики?

Файл политики — это обычный текстовый файл со строками «ключ: значение», где указаны версия, режим, разрешённые шаблоны MX и срок действия в секундах. Эти поля определены в RFC 8461. version должно быть STSv1. mode — это enforce (отправители не должны доставлять почту на хосты, не прошедшие проверки), testing (доставка может продолжаться, а отправители, поддерживающие TLS-RPT, присылают отчёты о сбоях) или none (как будто политики не существует). Каждая строка mx указывает хост полностью, например mail.protonmail.ch, или использует подстановочный знак в крайней левой метке, например *.example.net. max_age — число секунд, не более 31,557,600, и RFC говорит, что обычно оно должно составлять недели или больше. В его примере указано 604800, то есть одна неделя.

Файл должен отдаваться по HTTPS на mta-sts.yourdomain с сертификатом, действительным для этого имени. Засчитывается только ответ HTTP 200, а перенаправления выполняться не должны, что исключает пересылку URL — сервис, отвечающий перенаправлением. Файл должен отправляться как text/plain. Используйте небольшой веб-хостинг или хостинг статических страниц, который вы контролируете. Строки mx должны совпадать с записями вашего провайдера, перечисленными в статье что такое запись MX.

Что такое id и в каком порядке обновлять?

id в TXT-записи — это метка из 1–32 букв и цифр, которая должна меняться при каждом изменении политики, чтобы отправители знали, что файл нужно загрузить снова. RFC 8461 говорит, что она идентифицирует один экземпляр политики и что между id нет упорядоченности, поэтому хорошо подходит отметка даты и времени.

Обновляйте в таком порядке: сначала опубликуйте новый файл политики, затем смените id. Отправитель, увидевший новый id раньше нового файла, снова закэшировал бы старую политику. При смене почтового провайдера меняются и хосты MX, поэтому правьте строки mx до того, как измените записи MX, оставляйте старые хосты в списке на время переноса и обновляйте id. Забытая строка mx в режиме enforce останавливает поступление почты, а руководство по переносу как перенести почту к новому провайдеру описывает безопасный порядок остальных действий.

Что такое TLS-RPT и что содержат отчёты?

TLS-RPT — это формат отчётности (RFC 8460), в котором отправляющие серверы ежедневно сообщают вам, сколько TLS-соединений с вашим доменом прошло успешно или завершилось сбоем. Вы публикуете TXT-запись в _smtp._tls.yourdomain с v=TLSRPTv1 и полем rua, содержащим адрес mailto: или https:. Отчёты на mailto должны иметь действительную подпись DKIM от домена-отправителя отчёта.

Каждый отчёт — это документ JSON за одни сутки по UTC. В нём указана применённая политика (MTA-STS, DANE или никакой), подсчитаны успешные и неудачные сеансы и указан тип сбоя, например certificate-expired или starttls-not-supported, а также IP-адреса отправителя и получателя. Так вы узнаёте, что сертификат истёк или что в строке mx опечатка, прежде чем переключиться на enforce. Относитесь к первым неделям как к пробному запуску, рекомендуемому для DMARC.

Нужен ли MTA-STS для личного почтового домена?

Нет: MTA-STS — необязательное усиление защиты, и правила крупных отправителей его не требуют. Google, Yahoo и Microsoft требуют от массовых отправителей SPF, DKIM и DMARC и не упоминают MTA-STS. Для личного домена в Proton Mail, Fastmail или Mailbox.org настройка имеет смысл, только если вы готовы поддерживать веб-хостинг и сертификат.

Провайдеры различаются. По данным Postelva на 12 ноября 2026 года, изучившего списки настройки DNS у 4 провайдеров (Proton Mail, Tuta, Mailbox.org и Fastmail), 1 указывает запись MTA-STS в собственной настройке (Tuta, CNAME), а на справочных страницах остальных трёх она не описана. Вся настройка — это 3 DNS-записи и 1 файл. Проверьте каждую командами из статьи как проверить записи MX, SPF, DKIM и DMARC: dig TXT _mta-sts.example.com +short и dig TXT _smtp._tls.example.com +short.

Определение, которое можно цитировать: MTA-STS — это политика, делающая TLS обязательным, когда другие серверы доставляют почту на ваш домен, а TLS-RPT — это ежедневный отчёт, сообщающий вам, когда это не удаётся.