Generatore MTA-STS e TLS-RPT.
Imponi la consegna cifrata della posta in entrata. Inserisci il tuo dominio e gli host MX e ottieni tutti e tre gli elementi (il record _mta-sts, il file di policy e il record TLS-RPT _smtp._tls), generati in tempo reale nel browser. Senza account né carta di credito.
Uno per riga: i nomi host MX esatti (è ammesso un carattere jolly come *.yourprovider.com). Devono corrispondere ai certificati presentati dai tuoi server MX.
Per quanto tempo i server riceventi conservano la policy in cache. 604800 (1 settimana) è il valore tipico; durante i test parti con un valore più basso.
Dove vengono inviati i report TLS-RPT giornalieri (JSON): è così che vedrai gli errori di consegna.
v=STSv1; id=…Pubblicalo come record TXT su _mta-sts.yourdomain.com.
version: STSv1
mode: testing
mx: mail.yourdomain.com
max_age: 604800Pubblicalo via HTTPS su https://mta-sts.yourdomain.com/.well-known/mta-sts.txt (certificato valido, content-type text/plain).
v=TLSRPTv1; rua=mailto:tls-reports@yourdomain.comPubblicalo come record TXT su _smtp._tls.yourdomain.com.
Inizia in modalità testing. Usa prima mode: testing e controlla i report TLS-RPT. Passa a enforce solo quando confermano che ogni server raggiunge il tuo MX tramite TLS valido, altrimenti rischi di bloccare la tua stessa posta in entrata.
Come attivarlo in sicurezza
MTA-STS protegge la posta che ricevi; SPF, DKIM e DMARC autenticano la posta che invii. La guida a MTA-STS e TLS-RPT copre l'intera attivazione, e il check-up del dominio conferma che i record si risolvono una volta pubblicati.
- Pubblica tutti e tre, in modalità testing
- Aggiungi i due record TXT, pubblica il file di policy via HTTPS sul sottodominio mta-sts e mantieni mode: testing, così per ora non viene bloccato nulla.
- Monitora i report TLS-RPT, poi passa a enforce
- Quando i report giornalieri confermano che tutti i mittenti raggiungono il tuo MX tramite TLS valido, passa a mode: enforce e incrementa l'id della policy.
Perché imporre TLS sulla posta in entrata
Per impostazione predefinita la cifratura SMTP è opportunistica, quindi tra un server e l'altro può essere rimossa senza che nessuno se ne accorga. MTA-STS e TLS-RPT chiudono questa falla e ti danno visibilità sulla consegna, a complemento dell'autenticazione che blocca lo spoofing. Configura bene SPF, DKIM e DMARC per la posta in uscita, e MTA-STS per quella in entrata.
Domande frequenti sul generatore MTA-STS e TLS-RPT
Proteggi il trasporto, poi pulisci la lista
MTA-STS protegge la consegna; verificare la lista protegge la tua reputazione. Inizia gratis con 100 crediti, senza carta di credito.