Protéger vos emails entrants avec MTA-STS et TLS-RPT

Ce que ça veut dire

Quand un serveur livre un email à votre domaine, il peut chiffrer la connexion avec TLS. Par défaut, c'est facultatif : si quelqu'un au milieu bloque le chiffrement, l'email est envoyé en clair et peut être lu ou détourné.

• MTA-STS (Mail Transfer Agent Strict Transport Security) vous permet de dire : « ne livrez à mes serveurs de messagerie qu'avec un chiffrement valide, sinon ne livrez pas ».
• TLS-RPT (TLS Reporting) demande aux autres serveurs de vous envoyer un rapport quotidien quand ils ont eu du mal à se connecter de façon sécurisée.

Les deux protègent les emails que vous recevez. Ils ne changent pas la note de vos emails envoyés.

Pourquoi c'est important

Ils empêchent l'interception des emails entrants, comme les factures, les réinitialisations de mot de passe et les contrats. Gmail, Microsoft et d'autres grands fournisseurs respectent MTA-STS. Ils sont recommandés pour les entreprises, mais facultatifs pour les petits expéditeurs.

Comment vérifier

Utilisez le scanner de domaine sur /domain-scanner. Il cherche l'enregistrement MTA-STS, télécharge le fichier de politique et vérifie l'enregistrement TLS-RPT.

Comment corriger

MTA-STS demande trois éléments : un fichier de politique sur un site web, un enregistrement DNS, et des serveurs de messagerie avec des certificats valides.

1. Vérifiez vos serveurs MX. Ils doivent proposer TLS avec un certificat valide correspondant à leur nom. Google Workspace et Microsoft 365 le font déjà.
2. Créez le fichier de politique, un simple fichier texte servi exactement à l'adresse https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Commencez en mode test :

   version: STSv1
   mode: testing
   mx: *.mail.protection.outlook.com
   max_age: 86400

   Listez chacun de vos serveurs MX sur sa propre ligne mx:. Pour Google Workspace, utilisez mx: *.google.com et mx: *.googlemail.com, ou les noms exacts affichés par vos enregistrements MX.
3. Publiez le site web mta-sts.yourdomain.com avec un certificat https valide. N'importe quel hébergement statique simple convient.
4. Ajoutez l'enregistrement TXT MTA-STS. Changez l'id à chaque modification du fichier de politique :

   _mta-sts.yourdomain.com  TXT  "v=STSv1; id=20261030"

5. Ajoutez l'enregistrement TXT TLS-RPT pour recevoir les rapports :

   _smtp._tls.yourdomain.com  TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@yourdomain.com"

6. Lisez les rapports pendant quelques semaines. Quand il n'y a plus d'échec, remplacez mode: testing par mode: enforce, augmentez max_age (par exemple 604800, une semaine), et changez l'id dans le DNS.

Attention

En mode enforce, si votre certificat expire ou si vos MX changent sans mise à jour de la politique, les autres serveurs cesseront de vous livrer. Mettez à jour le fichier de politique chaque fois que vous changez de fournisseur de messagerie.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Relancez le scanner de domaine : MTA-STS et TLS-RPT doivent tous deux être trouvés et valides.

Les normes : RFC 8461 (MTA-STS) et RFC 8460 (TLS-RPT).