MTA-STS
受信メールの暗号化配送を必須にできます。ドメインとMXホストを入力すると、必要な3つの要素（_mta-stsレコード、ポリシーファイル、_smtp._tlsのTLS-RPTレコード）がブラウザー上でリアルタイムに生成されます。アカウント登録もクレジットカードも不要です。
1行に1つずつ、MXホスト名を正確に入力します（*.yourprovider.comのようなワイルドカードも使えます）。MXサーバーが提示する証明書と一致している必要があります。
受信側がポリシーをキャッシュする期間です。一般的には604800（1週間）ですが、testing中は短めの値から始めてください。
毎日のTLS-RPTレポート（JSON）の送信先です。配送の失敗はこのレポートで確認できます。
v=STSv1; id=…_mta-sts.yourdomain.comにTXTレコードとして公開してください。
version: STSv1
mode: testing
mx: mail.yourdomain.com
max_age: 604800https://mta-sts.yourdomain.com/.well-known/mta-sts.txtでHTTPS配信してください（有効な証明書、content-typeはtext/plain）。
v=TLSRPTv1; rua=mailto:tls-reports@yourdomain.com_smtp._tls.yourdomain.comにTXTレコードとして公開してください。
まずはtestingモードで始めてください。mode: testingで運用しながらTLS-RPTレポートを監視し、すべての送信元が有効なTLSでMXに到達できていると確認できてから、enforceに切り替えます。そうしないと、自社宛ての受信メールまでブロックしてしまうおそれがあります。
安全に導入する手順
MTA-STSは自社に届くメールを守り、SPF・DKIM・DMARCは送信するメールを認証します。導入の全体像はMTA-STSとTLS-RPTのガイドで解説しています。公開後にレコードが正しく解決されるかは、ドメイン診断で確認できます。
- 3つすべてをtestingモードで公開
- 2つのTXTレコードを追加し、ポリシーファイルをmta-stsサブドメインでHTTPS配信します。mode: testingのままにしておけば、この段階では何もブロックされません。
- TLS-RPTを確認してからenforceへ
- 毎日届くレポートで、すべての送信元が有効なTLSでMXに到達できていると確認できたら、mode: enforceに切り替え、ポリシーのidを更新します。
受信メールでTLSを必須にする理由
SMTPの暗号化は既定では日和見的（opportunistic）なため、サーバー間で気づかないうちに暗号化が外されるおそれがあります。MTA-STSとTLS-RPTはこの抜け穴をふさぎ、配送状況を可視化します。なりすましを防ぐ送信ドメイン認証を補完する仕組みです。送信メールにはSPF・DKIM・DMARCを、受信メールにはMTA-STSを正しく設定することが大切です。
MTA-STS・TLS-RPT作成ツールのよくある質問
通信経路を守ったら、次はリストのクリーニング
MTA-STSは配送を守り、リストの検証は送信者レピュテーションを守ります。100クレジット無料で始められ、クレジットカード登録は不要です。