Protege tu correo entrante con MTA-STS y TLS-RPT

Qué significa

Cuando un servidor entrega un email a tu dominio, puede cifrar la conexión con TLS. Por defecto es opcional: si alguien en medio bloquea el cifrado, el email se envía sin cifrar y se puede leer o desviar.

• MTA-STS (Mail Transfer Agent Strict Transport Security) te permite decir: «entrega a mis servidores de correo solo con un cifrado válido; si no, no entregues».
• TLS-RPT (TLS Reporting) pide a los demás servidores que te envíen un informe diario cuando han tenido problemas para conectarse de forma segura.

Los dos protegen el email que recibes. No cambian cómo se puntúan los emails que envías.

Por qué importa

Impiden la interceptación del correo entrante, como facturas, restablecimientos de contraseña y contratos. Gmail, Microsoft y otros grandes proveedores respetan MTA-STS. Se recomiendan para las empresas, pero son opcionales para los pequeños remitentes.

Cómo comprobarlo

Usa el Escáner de dominio en /domain-scanner. Busca el registro MTA-STS, descarga el archivo de política y comprueba el registro TLS-RPT.

Cómo solucionarlo

MTA-STS necesita tres piezas: un archivo de política en una web, un registro DNS y servidores de correo con certificados válidos.

1. Revisa tus servidores MX. Deben ofrecer TLS con un certificado válido que corresponda a su nombre. Google Workspace y Microsoft 365 ya lo hacen.
2. Crea el archivo de política, un archivo de texto plano servido exactamente en https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Empieza en modo de prueba:

   version: STSv1
   mode: testing
   mx: *.mail.protection.outlook.com
   max_age: 86400

   Indica cada uno de tus hosts MX en su propia línea mx:. Para Google Workspace, usa mx: *.google.com y mx: *.googlemail.com, o los nombres exactos que muestran tus registros MX.
3. Publica la web mta-sts.yourdomain.com con un certificado https válido. Sirve cualquier alojamiento estático sencillo.
4. Añade el registro TXT de MTA-STS. Cambia el id cada vez que modifiques el archivo de política:

   _mta-sts.yourdomain.com  TXT  "v=STSv1; id=20261030"

5. Añade el registro TXT de TLS-RPT para recibir informes:

   _smtp._tls.yourdomain.com  TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@yourdomain.com"

6. Lee los informes durante unas semanas. Cuando no haya fallos, cambia mode: testing por mode: enforce, aumenta max_age (por ejemplo 604800, una semana) y cambia el id en el DNS.

Ten cuidado

En modo enforce, si tu certificado caduca o tu MX cambia sin actualizar la política, los demás servidores dejarán de entregarte emails. Actualiza el archivo de política cada vez que cambies de proveedor de correo.

Comprueba que está solucionado

Los cambios de DNS no son instantáneos. La mayoría se ven en pocos minutos, pero algunos proveedores tardan hasta 24 o 48 horas.

Vuelve a pasar el Escáner de dominio: MTA-STS y TLS-RPT deberían encontrarse los dos y ser válidos.

Los estándares: RFC 8461 (MTA-STS) y RFC 8460 (TLS-RPT).