# Як налаштувати MTA-STS і TLS-RPT для свого домену?

> MTA-STS потребує TXT-запису в _mta-sts, файлу політики, що віддається через HTTPS на mta-sts.yourdomain, і TXT-запису TLS-RPT для звітів.

- URL: https://postelva.com/uk/guides/mta-sts-setup/
- Останнє оновлення: 2026-11-12
- Видавець: Postelva (https://postelva.com)

MTA-STS велить іншим поштовим серверам доставляти вам лише через перевірений TLS. Для цього потрібні два DNS-записи і один невеликий файл на веб-хостингу.

**Коротка відповідь — Як налаштувати MTA-STS і TLS-RPT?**

Опублікуйте TXT-запис у _mta-sts.yourdomain з v=STSv1 і id, віддайте файл політики за адресою https://mta-sts.yourdomain/.well-known/mta-sts.txt з дійсним сертифікатом і додайте TXT-запис у _smtp._tls для звітів TLS-RPT (RFC 8461 і RFC 8460). **Postelva** хостить DNS-записи; файлу політики потрібен веб-хостинг із HTTPS.

## Чотири частини налаштування MTA-STS і TLS-RPT

*Назви та формати з RFC 8461 і RFC 8460, прочитані 12 листопада 2026 року.*

| Частина | Де | Вміст | Розміщується |
| --- | --- | --- | --- |
| Запис MTA-STS | TXT у _mta-sts.example.com | v=STSv1; id=20261112T000000Z | Ваш DNS (безкоштовний DNS у Postelva) |
| Ім'я веб-хоста | A, AAAA або CNAME у mta-sts.example.com | Вказує на веб-сервер | Ваш DNS |
| Файл політики | https://mta-sts.example.com/.well-known/mta-sts.txt | version, mode, рядки mx, max_age | Веб-хостинг з HTTPS і дійсним сертифікатом |
| Запис TLS-RPT | TXT у _smtp._tls.example.com | v=TLSRPTv1; rua=mailto:tlsrpt@example.com | Ваш DNS |

## Налаштування MTA-STS у шість кроків

1. **Перелічіть свої MX-хости** — Політика має називати поштові хости вашого провайдера. Proton Mail використовує mail.protonmail.ch і mailsec.protonmail.ch, Mailbox.org — mxext1.mailbox.org–mxext4.mailbox.org.
2. **Налаштуйте ім'я веб-хоста** — У DNS-редакторі додайте запис для mta-sts, що вказує на веб-сервер, яким ви керуєте, і отримайте дійсний сертифікат для mta-sts.yourdomain.
3. **Опублікуйте файл політики в режимі тестування** — Створіть файл mta-sts.txt у папці .well-known з mode: testing і коротким max_age.
4. **Додайте TXT-запис _mta-sts** — Опублікуйте v=STSv1; id= з унікальним значенням, наприклад дата і час.
5. **Додайте запис TLS-RPT** — Опублікуйте TXT-запис у _smtp._tls з адресою mailto в rua і читайте щоденні звіти.
6. **Перейдіть до enforce** — Коли звіти не показують збоїв для ваших власних MX-хостів, змініть mode на enforce, підніміть max_age і оновіть id.

*DNS-записи та файл політики (mode testing)*

```dns
; DNS records
_mta-sts.example.com.      IN  TXT    "v=STSv1; id=20261112T000000Z"
_smtp._tls.example.com.    IN  TXT    "v=TLSRPTv1; rua=mailto:tlsrpt@example.com"
mta-sts.example.com.       IN  CNAME  webhost.example.net.

; File served at https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: mail.protonmail.ch
mx: mailsec.protonmail.ch
max_age: 86400
```

## Що захищає MTA-STS?

**MTA-STS дозволяє поштовому домену оголосити, що він підтримує TLS і що відправники мають відмовляти в доставці будь-яким його MX-хостам, які не можуть надати дійсний сертифікат.** RFC 8461, пропонований стандарт від вересня 2018 року, визначає його. Без нього шифрування між серверами є opportunistic: відправник пробує STARTTLS і, якщо зловмисник його прибирає, надсилає повідомлення у відкритому вигляді.

З політикою в режимі enforce відправник, що підтримує MTA-STS, отримує вашу політику, перевіряє, що MX-хост є в списку mx, і вимагає дійсного TLS-з'єднання з відповідним сертифікатом. Якщо будь-яка перевірка не проходить, повідомлення чекає і не доставляється слабшим каналом. Він захищає лише вхідну пошту і працює лише для відправників, які його реалізують. Він не автентифікує повідомлення: це завдання записів у [SPF, DKIM і DMARC: порівняння](https://postelva.com/uk/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?").

## Що входить до файлу політики?

**Файл політики — це простий текстовий файл із рядків ключ: значення з версією, режимом, дозволеними шаблонами MX і строком дії в секундах.** RFC 8461 визначає ці поля. version має бути STSv1. mode — це enforce (відправники не повинні доставляти на хости, що не проходять перевірки), testing (доставка може відбуватися, а відправники, що підтримують TLS-RPT, надсилають звіти про збої) або none (ніби політики не існує). Кожен рядок mx називає хост повністю, наприклад mail.protonmail.ch, або використовує символ-замінник у крайній лівій мітці, наприклад *.example.net. max_age — це кількість секунд, не більше 31,557,600; RFC каже, що зазвичай це мають бути тижні або більше. Його приклад використовує 604800, тобто один тиждень.

Файл має віддаватися через HTTPS за адресою mta-sts.yourdomain із дійсним сертифікатом для цього імені. Враховується лише відповідь HTTP 200; перенаправлення не слід переходити, що виключає переадресацію URL, тобто сервіс, який відповідає перенаправленням. Файл слід надсилати як text/plain. Використовуйте невеликий веб-хостинг або хостинг статичних сторінок, яким ви керуєте. Рядки mx мають збігатися із записами вашого провайдера, як перелічено в [що таке MX-запис](https://postelva.com/uk/what-is-an-mx-record/ "What is an MX record?").

## Що таке id і порядок оновлення?

**id у TXT-записі — це мітка з 1–32 літер і цифр, яка має змінюватися щоразу, коли змінюється політика, щоб відправники знали, що треба знову отримати файл.** RFC 8461 каже, що вона ідентифікує один екземпляр політики і що між id немає порядку, тож добре працює позначка дати й часу.

Оновлюйте в такому порядку: спершу опублікуйте новий файл політики, потім змініть id. Відправник, який побачить новий id раніше за новий файл, знову закешує стару політику. Коли ви змінюєте провайдера електронної пошти, змінюються і MX-хости, тож спершу відредагуйте рядки mx, до зміни MX-записів залишайте старі хости у списку і підніміть id. Забутий рядок mx у режимі enforce зупиняє надходження пошти, а посібник [як перенести електронну пошту до нового провайдера](https://postelva.com/uk/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail") дає безпечний порядок решти дій.

## Що таке TLS-RPT і що містять звіти?

**TLS-RPT — це формат звітності за RFC 8460, у якому сервери-відправники щодня повідомляють вам, скільки TLS-з'єднань з вашим доменом вдалося або не вдалося.** Ви публікуєте TXT-запис у _smtp._tls.yourdomain з v=TLSRPTv1 і полем rua з адресою mailto: або https:. Звіти mailto мають містити дійсний підпис DKIM від домену, що надсилає звіт.

Кожен звіт — це JSON-документ за одну добу UTC. Він називає застосовану політику (MTA-STS, DANE або none), рахує успішні та невдалі сесії і дає тип збою, наприклад certificate-expired або starttls-not-supported, з IP-адресами відправника й одержувача. Так ви дізнаєтеся, що сертифікат сплив або що в рядку mx є друкарська помилка, ще до переходу в enforce. Ставтеся до перших тижнів як до пробного запуску, який рекомендовано для [DMARC](https://postelva.com/uk/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject").

## Чи потрібен MTA-STS для особистого домену пошти?

**Ні: MTA-STS — це необов'язкове посилення, і правила великих відправників його не вимагають.** Google, Yahoo і Microsoft просять масових відправників про SPF, DKIM і DMARC і не згадують MTA-STS. Для особистого домену у Proton Mail, Fastmail або Mailbox.org налаштування варте зусиль, лише якщо ви готові підтримувати веб-хостинг і сертифікат.

Провайдери відрізняються. За читанням Postelva від 12 листопада 2026 року переліків DNS-налаштувань 4 провайдерів (Proton Mail, Tuta, Mailbox.org і Fastmail) 1 перелічує запис MTA-STS у власному налаштуванні (Tuta, як CNAME), а довідки інших трьох його не документують. Усе налаштування — це 3 DNS-записи і 1 файл. Перевірте кожен командами з [як перевірити записи MX, SPF, DKIM і DMARC](https://postelva.com/uk/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"): dig TXT _mta-sts.example.com +short і dig TXT _smtp._tls.example.com +short.

Стисле визначення: MTA-STS — це політика, яка робить TLS обов'язковим, коли інші сервери доставляють пошту на ваш домен, а TLS-RPT — це щоденний звіт, який сповіщає, коли це не спрацьовує.

## Питання про MTA-STS і TLS-RPT

### Чи можна розмістити файл політики MTA-STS у своєму DNS-провайдері?

Не лише в DNS-хості: файлу потрібен веб-сервер, що відповідає через HTTPS за адресою mta-sts.yourdomain. Переадресація URL не працює, бо перенаправлення не можна переходити.

### Який max_age обрати?

RFC 8461 каже, що значення зазвичай варіюється від тижнів і більше, а в його прикладі — 604800 секунд (один тиждень). Почніть із короткого значення в режимі тестування і підніміть його, коли звіти будуть чистими.

### Чи це те саме, що DANE?

Ні. Обидва захищають TLS між серверами, але DANE спирається на DNSSEC і записи TLSA, тоді як MTA-STS — на файл політики через HTTPS. TLS-RPT звітує про обидва.

### Що станеться, якщо мій сертифікат спливе в режимі enforce?

Відправники, що підтримують MTA-STS, перестануть доставляти на ваші хости, коли сертифікат MX-хоста не пройде перевірку, і пошта чекатиме в їхній черзі. Те саме стосується відсутнього рядка mx, тож стежте за TLS-RPT.

### Чи обов'язково використовувати режим enforce?

Ні. Режим тестування вже дає звіти, а режим none вимикає політику.

**Коротко**

- MTA-STS (RFC 8461) робить TLS обов'язковим для пошти, яка доставляється на ваш домен.
- Налаштування: TXT-запис у _mta-sts, файл політики через HTTPS за адресою mta-sts.yourdomain/.well-known/mta-sts.txt і TXT-запис у _smtp._tls для TLS-RPT (RFC 8460).
- Політика містить mode (enforce, testing, none), хости mx і max_age, не більше 31,557,600 секунд.
- Перенаправлення не можна переходити, тож переадресація URL не може віддавати файл.
- Змінюйте id щоразу, коли змінюється політика; спершу оновіть файл, потім TXT-запис.
- Починайте в режимі тестування і читайте звіти TLS-RPT перед enforce.
- Postelva хостить DNS-записи безкоштовно; .com коштує 12,49 USD/рік щороку.

## Джерела

1. [RFC 8461, SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461.html) — RFC Editor (прочитано 2026-11-12)
2. [RFC 8460, SMTP TLS Reporting](https://www.rfc-editor.org/rfc/rfc8460.html) — RFC Editor (прочитано 2026-11-12)
3. [Правила для відправників електронної пошти](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (прочитано 2026-11-12)
4. [Власний домен і захист від підроблення](https://proton.me/support/anti-spoofing-custom-domain) — Proton (прочитано 2026-11-12)

---

Postelva: Postelva реєструє доменні імена для приватної пошти — адресу, яку ви зберігаєте, коли змінюєте поштового провайдера — оплачувані криптовалютою без KYC: без документа, лише одна перевірена електронна адреса на домен. Керує нею DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.