Як налаштувати MTA-STS і TLS-RPT для свого домену?

Що захищає MTA-STS?

MTA-STS дозволяє поштовому домену оголосити, що він підтримує TLS і що відправники мають відмовляти в доставці будь-яким його MX-хостам, які не можуть надати дійсний сертифікат. RFC 8461, пропонований стандарт від вересня 2018 року, визначає його. Без нього шифрування між серверами є opportunistic: відправник пробує STARTTLS і, якщо зловмисник його прибирає, надсилає повідомлення у відкритому вигляді.

З політикою в режимі enforce відправник, що підтримує MTA-STS, отримує вашу політику, перевіряє, що MX-хост є в списку mx, і вимагає дійсного TLS-з'єднання з відповідним сертифікатом. Якщо будь-яка перевірка не проходить, повідомлення чекає і не доставляється слабшим каналом. Він захищає лише вхідну пошту і працює лише для відправників, які його реалізують. Він не автентифікує повідомлення: це завдання записів у SPF, DKIM і DMARC: порівняння.

Що входить до файлу політики?

Файл політики — це простий текстовий файл із рядків ключ: значення з версією, режимом, дозволеними шаблонами MX і строком дії в секундах. RFC 8461 визначає ці поля. version має бути STSv1. mode — це enforce (відправники не повинні доставляти на хости, що не проходять перевірки), testing (доставка може відбуватися, а відправники, що підтримують TLS-RPT, надсилають звіти про збої) або none (ніби політики не існує). Кожен рядок mx називає хост повністю, наприклад mail.protonmail.ch, або використовує символ-замінник у крайній лівій мітці, наприклад *.example.net. max_age — це кількість секунд, не більше 31,557,600; RFC каже, що зазвичай це мають бути тижні або більше. Його приклад використовує 604800, тобто один тиждень.

Файл має віддаватися через HTTPS за адресою mta-sts.yourdomain із дійсним сертифікатом для цього імені. Враховується лише відповідь HTTP 200; перенаправлення не слід переходити, що виключає переадресацію URL, тобто сервіс, який відповідає перенаправленням. Файл слід надсилати як text/plain. Використовуйте невеликий веб-хостинг або хостинг статичних сторінок, яким ви керуєте. Рядки mx мають збігатися із записами вашого провайдера, як перелічено в що таке MX-запис.

Що таке id і порядок оновлення?

id у TXT-записі — це мітка з 1–32 літер і цифр, яка має змінюватися щоразу, коли змінюється політика, щоб відправники знали, що треба знову отримати файл. RFC 8461 каже, що вона ідентифікує один екземпляр політики і що між id немає порядку, тож добре працює позначка дати й часу.

Оновлюйте в такому порядку: спершу опублікуйте новий файл політики, потім змініть id. Відправник, який побачить новий id раніше за новий файл, знову закешує стару політику. Коли ви змінюєте провайдера електронної пошти, змінюються і MX-хости, тож спершу відредагуйте рядки mx, до зміни MX-записів залишайте старі хости у списку і підніміть id. Забутий рядок mx у режимі enforce зупиняє надходження пошти, а посібник як перенести електронну пошту до нового провайдера дає безпечний порядок решти дій.

Що таке TLS-RPT і що містять звіти?

TLS-RPT — це формат звітності за RFC 8460, у якому сервери-відправники щодня повідомляють вам, скільки TLS-з'єднань з вашим доменом вдалося або не вдалося. Ви публікуєте TXT-запис у _smtp._tls.yourdomain з v=TLSRPTv1 і полем rua з адресою mailto: або https:. Звіти mailto мають містити дійсний підпис DKIM від домену, що надсилає звіт.

Кожен звіт — це JSON-документ за одну добу UTC. Він називає застосовану політику (MTA-STS, DANE або none), рахує успішні та невдалі сесії і дає тип збою, наприклад certificate-expired або starttls-not-supported, з IP-адресами відправника й одержувача. Так ви дізнаєтеся, що сертифікат сплив або що в рядку mx є друкарська помилка, ще до переходу в enforce. Ставтеся до перших тижнів як до пробного запуску, який рекомендовано для DMARC.

Чи потрібен MTA-STS для особистого домену пошти?

Ні: MTA-STS — це необов'язкове посилення, і правила великих відправників його не вимагають. Google, Yahoo і Microsoft просять масових відправників про SPF, DKIM і DMARC і не згадують MTA-STS. Для особистого домену у Proton Mail, Fastmail або Mailbox.org налаштування варте зусиль, лише якщо ви готові підтримувати веб-хостинг і сертифікат.

Провайдери відрізняються. За читанням Postelva від 12 листопада 2026 року переліків DNS-налаштувань 4 провайдерів (Proton Mail, Tuta, Mailbox.org і Fastmail) 1 перелічує запис MTA-STS у власному налаштуванні (Tuta, як CNAME), а довідки інших трьох його не документують. Усе налаштування — це 3 DNS-записи і 1 файл. Перевірте кожен командами з як перевірити записи MX, SPF, DKIM і DMARC: dig TXT _mta-sts.example.com +short і dig TXT _smtp._tls.example.com +short.

Стисле визначення: MTA-STS — це політика, яка робить TLS обов'язковим, коли інші сервери доставляють пошту на ваш домен, а TLS-RPT — це щоденний звіт, який сповіщає, коли це не спрацьовує.