# Hur ställer jag in MTA-STS och TLS-RPT för min domän? > MTA-STS kräver en TXT-post på _mta-sts, en policyfil som serveras över HTTPS på mta-sts.yourdomain och en TLS-RPT-TXT-post för rapporter. - URL: https://postelva.com/sv/guides/mta-sts-setup/ - Senast uppdaterad: 2026-11-12 - Utgivare: Postelva (https://postelva.com) MTA-STS talar om för andra mailservrar att de bara ska leverera till dig över verifierad TLS. Det kräver två DNS-poster och en liten fil på en webbserver. **Snabbt svar — Hur ställer jag in MTA-STS och TLS-RPT?** Publicera en TXT-post på _mta-sts.yourdomain med v=STSv1 och ett id, servera en policyfil på https://mta-sts.yourdomain/.well-known/mta-sts.txt med giltigt certifikat, och lägg till en TXT-post på _smtp._tls för TLS-RPT-rapporter (RFC 8461 och RFC 8460). **Postelva** är värd för DNS-posterna; policyfilen kräver en HTTPS-webbserver. ## De fyra delarna i en MTA-STS- och TLS-RPT-installation *Namn och format enligt RFC 8461 och RFC 8460, lästa den 12 november 2026.* | Del | Var | Innehåll | Finns på | | --- | --- | --- | --- | | MTA-STS-post | TXT på _mta-sts.example.com | v=STSv1; id=20261112T000000Z | Din DNS (gratis DNS hos Postelva) | | Webbvärdens namn | A, AAAA eller CNAME på mta-sts.example.com | Pekar på en webbserver | Din DNS | | Policyfil | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, mx-rader, max_age | En webbserver med HTTPS och giltigt certifikat | | TLS-RPT-post | TXT på _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | Din DNS | ## Ställ in MTA-STS i sex steg 1. **Lista dina MX-värdar** — Policyn måste ange din leverantörs mailvärdar. Proton Mail använder mail.protonmail.ch och mailsec.protonmail.ch, Mailbox.org använder mxext1 till mxext4.mailbox.org. 2. **Ställ in webbvärdens namn** — Lägg till en post för mta-sts i DNS-redigeraren som pekar på en webbserver du kontrollerar, och skaffa ett giltigt certifikat för mta-sts.yourdomain. 3. **Publicera policyfilen i testläge** — Skapa filen mta-sts.txt i mappen .well-known, med mode: testing och ett kort max_age. 4. **Lägg till TXT-posten _mta-sts** — Publicera v=STSv1; id= följt av ett unikt värde, till exempel datum och klockslag. 5. **Lägg till TLS-RPT-posten** — Publicera TXT-posten på _smtp._tls med en rua-mailto-adress, och läs de dagliga rapporterna. 6. **Byt till enforce** — När rapporterna visar inga fel för dina egna MX-värdar, byt mode till enforce, höj max_age och uppdatera id:t. *DNS-poster och policyfil (mode testing)* ```dns ; DNS records _mta-sts.example.com. IN TXT "v=STSv1; id=20261112T000000Z" _smtp._tls.example.com. IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@example.com" mta-sts.example.com. IN CNAME webhost.example.net. ; File served at https://mta-sts.example.com/.well-known/mta-sts.txt version: STSv1 mode: testing mx: mail.protonmail.ch mx: mailsec.protonmail.ch max_age: 86400 ``` ## Vad skyddar MTA-STS? **MTA-STS låter en maildomän deklarera att den stöder TLS och att avsändare måste vägra leverans till varje MX-värd som inte kan visa ett giltigt certifikat.** RFC 8461, en Proposed Standard från september 2018, definierar det. Utan den är kryptering mellan servrar opportunistisk: en avsändare försöker STARTTLS och skickar meddelandet i klartext om en angripare tar bort det. Med en policy i enforce-läge hämtar en avsändare som stöder MTA-STS din policy, kontrollerar att MX-värden finns i mx-listan och kräver en giltig TLS-anslutning med ett certifikat som stämmer. Om någon kontroll misslyckas väntar meddelandet och levereras inte över en svagare kanal. Det skyddar bara inkommande post, och det fungerar bara för avsändare som implementerar det. Det autentiserar inte meddelanden: det är uppgiften för posterna i [SPF vs DKIM vs DMARC](https://postelva.com/sv/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Vad går in i policyfilen? **Policyfilen är en vanlig textfil med nyckel: värde-rader för version, läge, tillåtna MX-mönster och en livslängd i sekunder.** RFC 8461 definierar dessa fält. version måste vara STSv1. mode är enforce (avsändare får inte leverera till värdar som misslyckas med kontrollerna), testing (leverans får ske, och avsändare som stöder TLS-RPT skickar felrapporter) eller none (som om ingen policy fanns). Varje mx-rad anger en värd i sin helhet, till exempel mail.protonmail.ch, eller använder ett jokertecken på den vänstra etiketten, till exempel *.example.net. max_age är ett antal sekunder, högst 31 557 600, och RFC:en säger att det normalt bör vara veckor eller mer. Exemplet använder 604800, en vecka. Filen måste serveras över HTTPS på mta-sts.yourdomain med ett certifikat som är giltigt för det namnet. Endast ett HTTP 200-svar räknas, och omdirigeringar får inte följas, vilket utesluter URL-vidarebefordran, en tjänst som svarar med en omdirigering. Filen ska skickas som text/plain. Använd en liten webbvärd eller en statisk sidtjänst som du kontrollerar. mx-raderna måste stämma med din leverantörs poster som listas i [vad en MX-post är](https://postelva.com/sv/what-is-an-mx-record/ "What is an MX record?"). ## Vad är id och uppdateringsordningen? **Id:t i TXT-posten är en etikett med 1 till 32 bokstäver och siffror som måste ändras när policyn ändras, så att avsändare vet att de ska hämta filen på nytt.** RFC 8461 säger att det identifierar en instans av en policy och att det inte finns någon ordning mellan id:n, så en datum- och tidsstämpel fungerar bra. Uppdatera i den här ordningen: publicera den nya policyfilen först, ändra sedan id:t. En avsändare som ser det nya id:t före den nya filen skulle cacha den gamla policyn igen. När du byter e-postleverantör ändras MX-värdarna också, så redigera mx-raderna innan du ändrar MX-posterna, behåll de gamla värdarna i listan under flytten och höj id:t. En glömd mx-rad i enforce-läge stoppar post från att komma fram, och flyttguiden [hur du flyttar e-post till en ny leverantör](https://postelva.com/sv/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail") anger den säkra ordningen för resten. ## Vad är TLS-RPT och vad innehåller rapporterna? **TLS-RPT är ett rapportformat, RFC 8460, där sändande servrar varje dag berättar hur många TLS-anslutningar till din domän som lyckades eller misslyckades.** Du publicerar en TXT-post på _smtp._tls.yourdomain med v=TLSRPTv1 och ett rua-fält med en mailto:- eller https:-adress. Mailto-rapporter måste bära en giltig DKIM-signatur från den rapporterande domänen. Varje rapport är ett JSON-dokument som täcker en UTC-dag. Den anger vilken policy som tillämpades (MTA-STS, DANE eller none), räknar lyckade och misslyckade sessioner och anger feltypen, till exempel certificate-expired eller starttls-not-supported, med avsändande och mottagande IP-adresser. Så här får du veta att ett certifikat har gått ut eller att en mx-rad har ett stavfel, innan du byter till enforce. Behandla de första veckorna som provperioden som rekommenderas för [DMARC](https://postelva.com/sv/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). ## Behöver jag MTA-STS för en personlig e-postdomän? **Nej: MTA-STS är valfri härdning, och reglerna för stora avsändare kräver det inte.** Google, Yahoo och Microsoft ber massutskickare om SPF, DKIM och DMARC och nämner inte MTA-STS. För en personlig domän hos Proton Mail, Fastmail eller Mailbox.org är installationen värd besväret bara om du accepterar underhållet av en webbvärd och ett certifikat. Leverantörerna skiljer sig åt. Enligt Postelva:s läsning den 12 november 2026 av DNS-installationslistorna för 4 leverantörer (Proton Mail, Tuta, Mailbox.org och Fastmail) listar 1 en MTA-STS-post i sin egen installation (Tuta, en CNAME), och hjälpsidorna för de tre övriga dokumenterar ingen. Hela installationen är 3 DNS-poster och 1 fil. Kontrollera var och en med kommandona i [hur du kontrollerar MX-, SPF-, DKIM- och DMARC-poster](https://postelva.com/sv/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"): dig TXT _mta-sts.example.com +short och dig TXT _smtp._tls.example.com +short. En citerbar definition: MTA-STS är policyn som gör TLS obligatoriskt när andra servrar levererar post till din domän, och TLS-RPT är den dagliga rapporten som visar när det misslyckas. ## Frågor om MTA-STS och TLS-RPT ### Kan jag lägga MTA-STS-policyfilen hos min DNS-leverantör? Inte med enbart en DNS-värd: filen kräver en webbserver som svarar över HTTPS på mta-sts.yourdomain. URL-vidarebefordran fungerar inte, eftersom omdirigeringar inte får följas. ### Vilket max_age bör jag använda? RFC 8461 säger att värdet normalt ligger från veckor och uppåt, med 604800 sekunder (en vecka) i sitt exempel. Börja med ett kort värde i testläge och höj det när rapporterna är rena. ### Är MTA-STS samma sak som DANE? Nej. Båda skyddar TLS mellan servrar, men DANE bygger på DNSSEC och TLSA-poster, medan MTA-STS bygger på en HTTPS-policyfil. TLS-RPT rapporterar för båda. ### Vad händer om mitt certifikat går ut i enforce-läge? Avsändare som stöder MTA-STS slutar leverera till dina värdar när certifikatet för en MX-värd misslyckas, och posten väntar i deras kö. Samma gäller en saknad mx-rad, så håll koll på TLS-RPT. ### Måste jag använda enforce-läge? Nej. Testläget ger dig redan rapporter, och läget none stänger av policyn. **Sammanfattning** - MTA-STS (RFC 8461) gör TLS obligatoriskt för post som levereras till din domän. - Installation: en TXT-post på _mta-sts, en HTTPS-policyfil på mta-sts.yourdomain/.well-known/mta-sts.txt och en TXT-post på _smtp._tls för TLS-RPT (RFC 8460). - Policyn anger mode (enforce, testing, none), mx-värdar och max_age, högst 31 557 600 sekunder. - Omdirigeringar får inte följas, så URL-vidarebefordran kan inte servera filen. - Ändra id:t varje gång policyn ändras; uppdatera filen först, sedan TXT-posten. - Börja i testläge och läs TLS-RPT-rapporterna innan enforce. - Postelva är värd för DNS-posterna gratis; en .com kostar 12,49 US$/år varje år. ## Källor 1. [RFC 8461, SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (läst 2026-11-12) 2. [RFC 8460, SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (läst 2026-11-12) 3. [Avsändarriktlinjer för e-post](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (läst 2026-11-12) 4. [Egen domän och skydd mot förfalskning](https://proton.me/support/anti-spoofing-custom-domain) — Proton (läst 2026-11-12) --- Postelva: Postelva registrerar domännamn för privat e-post – adressen du behåller när du byter leverantör – betalda i kryptovaluta utan KYC: ingen legitimation, bara en verifierad e-postadress per domän. Tjänsten drivs av DomaineGoat LLC, ett företag registrerat i Panama; domäner registreras via dess ICANN-ackrediterade registrarpartner. En .com kostar 12,49 US$/år, samma pris varje år.