Proteggi la posta in arrivo con MTA-STS e TLS-RPT

Cosa significa

Quando un server consegna un'email al tuo dominio, può cifrare la connessione con TLS. Di default è facoltativo: se qualcuno nel mezzo blocca la cifratura, l'email viene inviata in chiaro e può essere letta o deviata.

• MTA-STS (Mail Transfer Agent Strict Transport Security) ti permette di dire: "consegna ai miei server di posta solo con una cifratura valida, altrimenti non consegnare".
• TLS-RPT (TLS Reporting) chiede agli altri server di inviarti un report giornaliero quando hanno avuto problemi a connettersi in modo sicuro.

Entrambi proteggono le email che ricevi. Non cambiano il punteggio delle email che invii.

Perché è importante

Bloccano l'intercettazione della posta in arrivo, come fatture, reimpostazioni della password e contratti. Gmail, Microsoft e altri grandi provider rispettano MTA-STS. Sono consigliati per le aziende, ma facoltativi per i piccoli mittenti.

Come verificare

Usa lo Scanner di dominio su /domain-scanner. Cerca il record MTA-STS, scarica il file di policy e controlla il record TLS-RPT.

Come risolvere

MTA-STS richiede tre elementi: un file di policy su un sito web, un record DNS e server di posta con certificati validi.

1. Controlla i tuoi server MX. Devono offrire TLS con un certificato valido che corrisponde al loro nome. Google Workspace e Microsoft 365 lo fanno già.
2. Crea il file di policy, un semplice file di testo servito esattamente su https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Inizia in modalità di test:

   version: STSv1
   mode: testing
   mx: *.mail.protection.outlook.com
   max_age: 86400

   Elenca ciascuno dei tuoi host MX su una propria riga mx:. Per Google Workspace, usa mx: *.google.com e mx: *.googlemail.com, oppure i nomi esatti che mostrano i tuoi record MX.
3. Pubblica il sito web mta-sts.yourdomain.com con un certificato https valido. Va bene qualsiasi semplice hosting statico.
4. Aggiungi il record TXT MTA-STS. Cambia l'id ogni volta che modifichi il file di policy:

   _mta-sts.yourdomain.com  TXT  "v=STSv1; id=20261030"

5. Aggiungi il record TXT TLS-RPT per ricevere i report:

   _smtp._tls.yourdomain.com  TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@yourdomain.com"

6. Leggi i report per qualche settimana. Quando non ci sono errori, cambia mode: testing in mode: enforce, aumenta max_age (per esempio 604800, una settimana) e cambia l'id nel DNS.

Attenzione

In modalità enforce, se il tuo certificato scade o i tuoi MX cambiano senza aggiornare la policy, gli altri server smetteranno di consegnarti la posta. Aggiorna il file di policy ogni volta che cambi provider email.

Verifica che sia risolto

Le modifiche DNS non sono immediate. La maggior parte è visibile in pochi minuti, ma alcuni provider impiegano fino a 24-48 ore.

Avvia di nuovo lo Scanner di dominio: MTA-STS e TLS-RPT dovrebbero essere entrambi trovati e validi.

Gli standard: RFC 8461 (MTA-STS) e RFC 8460 (TLS-RPT).