Skip to content
Commencez avec 100 crédits de vérification gratuits
Qualisend
Outil gratuit

Générateur MTA-STS et TLS-RPT.

Imposez la remise chiffrée de vos e-mails entrants. Saisissez votre domaine et vos hôtes MX et obtenez les trois éléments — l'enregistrement _mta-sts, le fichier de règles et l'enregistrement TLS-RPT _smtp._tls — générés en direct dans votre navigateur. Sans compte, sans carte.

Un par ligne — vos noms d'hôte MX exacts (un caractère générique comme *.yourprovider.com est autorisé). Ils doivent correspondre aux certificats que présentent vos serveurs MX.

Durée pendant laquelle les destinataires mettent la règle en cache. 604800 (1 semaine) est courant ; commencez plus bas pendant les tests.

Où sont envoyés les rapports TLS-RPT quotidiens (JSON) — c'est ainsi que vous verrez les échecs de remise.

1. Enregistrement DNS MTA-STS (TXT)
v=STSv1; id=…

Publiez-le en tant qu'enregistrement TXT sur _mta-sts.yourdomain.com.

2. Fichier de règles
version: STSv1 mode: testing mx: mail.yourdomain.com max_age: 604800

Servez ceci via HTTPS sur https://mta-sts.yourdomain.com/.well-known/mta-sts.txt (certificat valide, content-type text/plain).

3. Enregistrement DNS TLS-RPT (TXT)
v=TLSRPTv1; rua=mailto:tls-reports@yourdomain.com

Publiez-le en tant qu'enregistrement TXT sur _smtp._tls.yourdomain.com.

Commencez en mode testing. Exécutez d'abord mode: testing et surveillez les rapports TLS-RPT — ne passez à enforce qu'une fois qu'ils confirment que chaque destinataire atteint votre MX via un TLS valide, sinon vous risquez de bloquer votre propre courrier entrant.

Comment le déployer en toute sécurité

MTA-STS protège les e-mails qui vous parviennent ; SPF, DKIM et DMARC authentifient les e-mails que vous envoyez. Le guide MTA-STS et TLS-RPT couvre l'ensemble du déploiement, et la vérification de la santé du domaine confirme que les enregistrements se résolvent une fois publiés.

Publiez les trois, en mode test
Ajoutez les deux enregistrements TXT, hébergez le fichier de règles en HTTPS sur le sous-domaine mta-sts et conservez mode: testing pour que rien ne soit encore bloqué.
Surveillez TLS-RPT, puis appliquez enforce
Une fois que les rapports quotidiens confirment que chaque expéditeur atteint votre MX via un TLS valide, passez à mode: enforce et incrémentez l'id de la règle.

Pourquoi imposer le TLS sur les e-mails entrants

Le chiffrement SMTP est opportuniste par défaut, ce qui signifie qu'il peut être supprimé silencieusement entre les serveurs. MTA-STS et TLS-RPT comblent cette faille et vous donnent une visibilité sur la remise — un complément à l'authentification qui bloque l'usurpation. Configurez correctement SPF, DKIM et DMARC pour le courrier sortant, et MTA-STS pour le courrier entrant.

Générateur MTA-STS et TLS-RPT — FAQ

MTA-STS (SMTP MTA Strict Transport Security, RFC 8461) permet à votre domaine d'indiquer aux serveurs émetteurs que le courrier entrant doit être remis via TLS à vos hôtes MX authentifiés. Sans cela, le chiffrement SMTP est opportuniste et peut être supprimé par un attaquant intermédiaire ; MTA-STS comble cette faille de rétrogradation. Il s'agit d'un enregistrement DNS TXT qui pointe vers un fichier de règles servi via HTTPS.

En mode testing, les destinataires qui prennent en charge MTA-STS remettent toujours le courrier même si votre vérification de règle échoue, mais ils signalent l'échec via TLS-RPT — vous voyez donc les problèmes sans risquer la remise. En mode enforce, un destinataire refuse de remettre à un MX qui ne correspond pas à la règle ou qui présente un certificat non valide. Commencez toujours en testing, confirmez que les rapports sont propres, puis passez à enforce.

TLS-RPT (RFC 8460) est l'enregistrement complémentaire situé sur _smtp._tls.votredomaine. Il demande aux serveurs destinataires de vous envoyer un rapport JSON quotidien des réussites et échecs de la poignée de main TLS lorsqu'ils remettent le courrier à votre MX. Ces rapports vous permettent de confirmer que chaque expéditeur peut vous joindre via un TLS valide avant de passer MTA-STS en enforce — et de détecter ensuite les problèmes de certificat.

Trois éléments, tous générés ici : (1) un enregistrement TXT sur _mta-sts.votredomaine contenant v=STSv1 et un id que vous incrémentez à chaque modification de la règle ; (2) le fichier de règles lui-même, servi via HTTPS sur https://mta-sts.votredomaine/.well-known/mta-sts.txt avec un certificat valide ; et (3) l'enregistrement TXT TLS-RPT sur _smtp._tls.votredomaine. Les enregistrements DNS seuls ne suffisent pas — le fichier de règles doit être accessible via HTTPS.

Les deux imposent le TLS pour le SMTP entrant, mais diffèrent par leur ancre de confiance. DANE publie des enregistrements TLSA sécurisés par DNSSEC ; MTA-STS utilise une règle hébergée en HTTPS plus le DNS et ne nécessite pas DNSSEC, ce qui facilite son déploiement pour la plupart des domaines. Gmail, Outlook et Yahoo prennent tous en charge MTA-STS, c'est donc l'option la plus largement supportée aujourd'hui.

Sécurisez le transport — puis nettoyez la liste

MTA-STS protège la remise ; vérifier votre liste protège votre réputation. Commencez gratuitement avec 100 crédits, sans carte.

Commencer à vérifier