Skip to content
Empieza con 100 créditos de verificación gratis
Qualisend
Herramienta gratuita

Generador de MTA-STS y TLS-RPT.

Exige la entrega cifrada de tu correo entrante. Introduce tu dominio y tus hosts MX y obtén las tres piezas — el registro _mta-sts, el archivo de política y el registro TLS-RPT _smtp._tls — generadas en directo en tu navegador. Sin cuenta, sin tarjeta.

Uno por línea — tus nombres de host MX exactos (se permite un comodín como *.yourprovider.com). Deben coincidir con los certificados que presentan tus servidores MX.

Cuánto tiempo almacenan la política los receptores en caché. 604800 (1 semana) es lo habitual; empieza con un valor más bajo durante las pruebas.

Adónde se envían los informes diarios de TLS-RPT (JSON) — así verás los fallos de entrega.

1. Registro DNS de MTA-STS (TXT)
v=STSv1; id=…

Publícalo como registro TXT en _mta-sts.yourdomain.com.

2. Archivo de política
version: STSv1 mode: testing mx: mail.yourdomain.com max_age: 604800

Sírvelo por HTTPS en https://mta-sts.yourdomain.com/.well-known/mta-sts.txt (certificado válido, content-type text/plain).

3. Registro DNS de TLS-RPT (TXT)
v=TLSRPTv1; rua=mailto:tls-reports@yourdomain.com

Publícalo como registro TXT en _smtp._tls.yourdomain.com.

Empieza en modo testing. Ejecuta primero mode: testing y vigila los informes de TLS-RPT — cambia a enforce solo cuando confirmen que cada receptor llega a tu MX por TLS válido, o te arriesgas a bloquear tu propio correo entrante.

Cómo implementarlo de forma segura

MTA-STS protege el correo que llega a ti; SPF, DKIM y DMARC autentican el correo que envías. La guía de MTA-STS y TLS-RPT cubre toda la implementación, y la comprobación de salud del dominio confirma que los registros se resuelven una vez publicados.

Publica las tres, en modo de prueba
Añade los dos registros TXT, aloja el archivo de política por HTTPS en el subdominio mta-sts y mantén mode: testing para que aún no se bloquee nada.
Observa TLS-RPT y luego aplica enforce
Cuando los informes diarios confirmen que cada remitente llega a tu MX por TLS válido, cambia a mode: enforce e incrementa el id de la política.

Por qué exigir TLS en el correo entrante

El cifrado SMTP es oportunista por defecto, lo que significa que puede eliminarse de forma silenciosa entre servidores. MTA-STS y TLS-RPT cierran esa brecha y te dan visibilidad sobre la entrega — un complemento a la autenticación que frena la suplantación. Configura bien SPF, DKIM y DMARC para el correo saliente, y MTA-STS para el entrante.

Generador de MTA-STS y TLS-RPT — Preguntas frecuentes

MTA-STS (SMTP MTA Strict Transport Security, RFC 8461) permite que tu dominio indique a los servidores emisores que el correo entrante debe entregarse por TLS a tus hosts MX autenticados. Sin él, el cifrado SMTP es oportunista y un atacante intermedio puede eliminarlo; MTA-STS cierra esa brecha de degradación. Es un registro DNS TXT que apunta a un archivo de política servido por HTTPS.

En modo testing, los receptores que admiten MTA-STS siguen entregando el correo aunque falle la comprobación de tu política, pero informan del fallo mediante TLS-RPT — así ves los problemas sin arriesgar la entrega. En modo enforce, un receptor se niega a entregar a un MX que no coincide con la política o que presenta un certificado no válido. Empieza siempre en testing, confirma que los informes están limpios y luego pasa a enforce.

TLS-RPT (RFC 8460) es el registro complementario en _smtp._tls.tudominio. Pide a los servidores receptores que te envíen un informe JSON diario de los éxitos y fallos del handshake TLS cuando entregan a tu MX. Esos informes son la forma de confirmar que cada remitente puede llegar a ti por TLS válido antes de cambiar MTA-STS a enforce — y de detectar problemas de certificado después.

Tres cosas, todas generadas aquí: (1) un registro TXT en _mta-sts.tudominio que contenga v=STSv1 y un id que incrementes cada vez que cambie la política; (2) el propio archivo de política, servido por HTTPS en https://mta-sts.tudominio/.well-known/mta-sts.txt con un certificado válido; y (3) el registro TXT de TLS-RPT en _smtp._tls.tudominio. Los registros DNS por sí solos no bastan — el archivo de política debe ser accesible por HTTPS.

Ambos exigen TLS para el SMTP entrante, pero se diferencian en el ancla de confianza. DANE publica registros TLSA protegidos por DNSSEC; MTA-STS usa una política alojada por HTTPS más DNS y no requiere DNSSEC, lo que facilita su despliegue en la mayoría de dominios. Gmail, Outlook y Yahoo respetan MTA-STS, así que hoy es la opción con más compatibilidad.

Asegura el transporte — luego limpia la lista

MTA-STS protege la entrega; verificar tu lista protege tu reputación. Empieza gratis con 100 créditos, sin tarjeta.

Empieza a verificar