# Как настроить MTA-STS и TLS-RPT для моего домена? > MTA-STS требует TXT-запись в _mta-sts, файл политики, отдаваемый по HTTPS на mta-sts.yourdomain, и TXT-запись TLS-RPT для отчётов. - URL: https://postelva.com/ru/guides/mta-sts-setup/ - Последнее обновление: 2026-11-12 - Издатель: Postelva (https://postelva.com) MTA-STS сообщает другим почтовым серверам, что доставлять вам почту нужно только по проверенному TLS. Для него нужны две DNS-записи и один небольшой файл на веб-хостинге. **Кратко — Как настроить MTA-STS и TLS-RPT?** Опубликуйте TXT-запись в _mta-sts.yourdomain со значением v=STSv1 и id, отдавайте файл политики по адресу https://mta-sts.yourdomain/.well-known/mta-sts.txt с действительным сертификатом и добавьте TXT-запись в _smtp._tls для отчётов TLS-RPT (RFC 8461 и RFC 8460). **Postelva** размещает DNS-записи; для файла политики нужен веб-хостинг с HTTPS. ## Четыре элемента настройки MTA-STS и TLS-RPT *Имена и форматы из RFC 8461 и RFC 8460, прочитано 12 ноября 2026 года.* | Элемент | Где | Содержимое | Размещается в | | --- | --- | --- | --- | | Запись MTA-STS | TXT в _mta-sts.example.com | v=STSv1; id=20261112T000000Z | Ваш DNS (бесплатный DNS в Postelva) | | Имя веб-хоста | A, AAAA или CNAME в mta-sts.example.com | Указывает на веб-сервер | Ваш DNS | | Файл политики | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, строки mx, max_age | Веб-хостинг с HTTPS и действительным сертификатом | | Запись TLS-RPT | TXT в _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | Ваш DNS | ## Настройка MTA-STS за шесть шагов 1. **Перечислите свои хосты MX** — В политике должны быть указаны почтовые хосты вашего провайдера. Proton Mail использует mail.protonmail.ch и mailsec.protonmail.ch, Mailbox.org — mxext1–mxext4.mailbox.org. 2. **Настройте имя веб-хоста** — В DNS-редакторе добавьте запись для mta-sts, указывающую на веб-сервер, который вы контролируете, и получите действительный сертификат для mta-sts.yourdomain. 3. **Опубликуйте файл политики в режиме testing** — Создайте файл mta-sts.txt в папке .well-known с mode: testing и небольшим значением max_age. 4. **Добавьте TXT-запись _mta-sts** — Опубликуйте v=STSv1; id= и после него уникальное значение, например дату и время. 5. **Добавьте запись TLS-RPT** — Опубликуйте TXT-запись в _smtp._tls с адресом rua mailto и читайте ежедневные отчёты. 6. **Переключитесь на enforce** — Когда отчёты не показывают сбоев для ваших собственных хостов MX, измените режим на enforce, увеличьте max_age и обновите id. *DNS-записи и файл политики (режим testing)* ```dns ; DNS records _mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z" _smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@example.com" mta-sts.example.com. IN CNAME webhost.example.net. ; File served at https://mta-sts.example.com/.well-known/mta-sts.txt version: STSv1 mode: testing mx: mail.protonmail.ch mx: mailsec.protonmail.ch max_age: 86400 ``` ## Что защищает MTA-STS? **MTA-STS позволяет почтовому домену заявить, что он поддерживает TLS и что отправители должны отказываться от доставки на любой из его хостов MX, не способный предъявить действительный сертификат.** Он определён в RFC 8461, Proposed Standard от сентября 2018 года. Без него шифрование между серверами оппортунистическое: отправитель пытается использовать STARTTLS и, если злоумышленник его отключит, отправляет письмо открытым текстом. При политике в режиме enforce отправитель, поддерживающий MTA-STS, получает вашу политику, проверяет, что хост MX указан в списке mx, и требует действительного TLS-соединения с соответствующим сертификатом. Если любая проверка не пройдена, письмо ждёт и не доставляется по менее защищённому каналу. Он защищает только входящую почту и работает только для отправителей, которые его реализуют. Он не аутентифицирует сообщения: это задача записей из статьи [SPF, DKIM и DMARC: в чём разница](https://postelva.com/ru/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Что входит в файл политики? **Файл политики — это обычный текстовый файл со строками «ключ: значение», где указаны версия, режим, разрешённые шаблоны MX и срок действия в секундах.** Эти поля определены в RFC 8461. version должно быть STSv1. mode — это enforce (отправители не должны доставлять почту на хосты, не прошедшие проверки), testing (доставка может продолжаться, а отправители, поддерживающие TLS-RPT, присылают отчёты о сбоях) или none (как будто политики не существует). Каждая строка mx указывает хост полностью, например mail.protonmail.ch, или использует подстановочный знак в крайней левой метке, например *.example.net. max_age — число секунд, не более 31,557,600, и RFC говорит, что обычно оно должно составлять недели или больше. В его примере указано 604800, то есть одна неделя. Файл должен отдаваться по HTTPS на mta-sts.yourdomain с сертификатом, действительным для этого имени. Засчитывается только ответ HTTP 200, а перенаправления выполняться не должны, что исключает пересылку URL — сервис, отвечающий перенаправлением. Файл должен отправляться как text/plain. Используйте небольшой веб-хостинг или хостинг статических страниц, который вы контролируете. Строки mx должны совпадать с записями вашего провайдера, перечисленными в статье [что такое запись MX](https://postelva.com/ru/what-is-an-mx-record/ "What is an MX record?"). ## Что такое id и в каком порядке обновлять? **id в TXT-записи — это метка из 1–32 букв и цифр, которая должна меняться при каждом изменении политики, чтобы отправители знали, что файл нужно загрузить снова.** RFC 8461 говорит, что она идентифицирует один экземпляр политики и что между id нет упорядоченности, поэтому хорошо подходит отметка даты и времени. Обновляйте в таком порядке: сначала опубликуйте новый файл политики, затем смените id. Отправитель, увидевший новый id раньше нового файла, снова закэшировал бы старую политику. При смене почтового провайдера меняются и хосты MX, поэтому правьте строки mx до того, как измените записи MX, оставляйте старые хосты в списке на время переноса и обновляйте id. Забытая строка mx в режиме enforce останавливает поступление почты, а руководство по переносу [как перенести почту к новому провайдеру](https://postelva.com/ru/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail") описывает безопасный порядок остальных действий. ## Что такое TLS-RPT и что содержат отчёты? **TLS-RPT — это формат отчётности (RFC 8460), в котором отправляющие серверы ежедневно сообщают вам, сколько TLS-соединений с вашим доменом прошло успешно или завершилось сбоем.** Вы публикуете TXT-запись в _smtp._tls.yourdomain с v=TLSRPTv1 и полем rua, содержащим адрес mailto: или https:. Отчёты на mailto должны иметь действительную подпись DKIM от домена-отправителя отчёта. Каждый отчёт — это документ JSON за одни сутки по UTC. В нём указана применённая политика (MTA-STS, DANE или никакой), подсчитаны успешные и неудачные сеансы и указан тип сбоя, например certificate-expired или starttls-not-supported, а также IP-адреса отправителя и получателя. Так вы узнаёте, что сертификат истёк или что в строке mx опечатка, прежде чем переключиться на enforce. Относитесь к первым неделям как к пробному запуску, рекомендуемому для [DMARC](https://postelva.com/ru/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). ## Нужен ли MTA-STS для личного почтового домена? **Нет: MTA-STS — необязательное усиление защиты, и правила крупных отправителей его не требуют.** Google, Yahoo и Microsoft требуют от массовых отправителей SPF, DKIM и DMARC и не упоминают MTA-STS. Для личного домена в Proton Mail, Fastmail или Mailbox.org настройка имеет смысл, только если вы готовы поддерживать веб-хостинг и сертификат. Провайдеры различаются. По данным Postelva на 12 ноября 2026 года, изучившего списки настройки DNS у 4 провайдеров (Proton Mail, Tuta, Mailbox.org и Fastmail), 1 указывает запись MTA-STS в собственной настройке (Tuta, CNAME), а на справочных страницах остальных трёх она не описана. Вся настройка — это 3 DNS-записи и 1 файл. Проверьте каждую командами из статьи [как проверить записи MX, SPF, DKIM и DMARC](https://postelva.com/ru/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"): dig TXT _mta-sts.example.com +short и dig TXT _smtp._tls.example.com +short. Определение, которое можно цитировать: MTA-STS — это политика, делающая TLS обязательным, когда другие серверы доставляют почту на ваш домен, а TLS-RPT — это ежедневный отчёт, сообщающий вам, когда это не удаётся. ## Вопросы о MTA-STS и TLS-RPT ### Можно ли разместить файл политики MTA-STS у моего DNS-провайдера? Только на DNS-хостинге — нет: файлу нужен веб-сервер, отвечающий по HTTPS на mta-sts.yourdomain. Пересылка URL не работает, так как перенаправления выполняться не должны. ### Какой max_age использовать? RFC 8461 говорит, что значение обычно составляет от нескольких недель и больше, а в его примере указано 604800 секунд (одна неделя). Начните с небольшого значения в режиме testing и увеличьте его, когда отчёты станут чистыми. ### MTA-STS — это то же самое, что DANE? Нет. Оба защищают TLS между серверами, но DANE опирается на DNSSEC и записи TLSA, а MTA-STS — на файл политики по HTTPS. TLS-RPT сообщает об обоих. ### Что произойдёт, если мой сертификат истечёт в режиме enforce? Отправители, поддерживающие MTA-STS, перестают доставлять почту на ваши хосты, когда сертификат хоста MX не проходит проверку, и письма ждут в их очереди. То же относится к отсутствующей строке mx, поэтому следите за TLS-RPT. ### Обязательно ли использовать режим enforce? Нет. Режим testing уже даёт отчёты, а режим none отключает политику. **Итог** - MTA-STS (RFC 8461) делает TLS обязательным для почты, доставляемой на ваш домен. - Настройка: TXT-запись в _mta-sts, файл политики по HTTPS в mta-sts.yourdomain/.well-known/mta-sts.txt и TXT-запись в _smtp._tls для TLS-RPT (RFC 8460). - В политике указаны mode (enforce, testing, none), хосты mx и max_age, не более 31,557,600 секунд. - Перенаправления выполняться не должны, поэтому пересылка URL не может отдавать файл. - Меняйте id при каждом изменении политики; сначала обновите файл, затем TXT-запись. - Начните с режима testing и прочитайте отчёты TLS-RPT, прежде чем переходить на enforce. - Postelva бесплатно размещает DNS-записи; домен .com стоит 12,49 $/год в год. ## Источники 1. [RFC 8461, SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (прочитано 2026-11-12) 2. [RFC 8460, SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (прочитано 2026-11-12) 3. [Рекомендации для отправителей почты](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (прочитано 2026-11-12) 4. [Собственный домен и защита от подделки отправителя](https://proton.me/support/anti-spoofing-custom-domain) — Proton (прочитано 2026-11-12) --- Postelva: Postelva регистрирует доменные имена для приватной почты — адрес, который остаётся с вами при смене провайдера — с оплатой криптовалютой и без KYC: без документа, удостоверяющего личность, только один подтверждённый адрес электронной почты на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через её партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, и эта цена одинакова каждый год.