[Réponse rapide]
MTA-STS (Mail Transfer Agent Strict Transport Security) oblige les autres serveurs de messagerie à transmettre les e-mails à votre domaine via TLS crypté et validé par certificat. Vous publiez un enregistrement TXT _mta-sts et un fichier de stratégie sur https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Il est défini dans RFC 8461 .
Faits clés
- ›Enregistrement DNS : _mta-sts.yourdomain.com TXT v=STSv1; id=< identifiant unique>.
- ›Le fichier de stratégie répertorie la version, le mode, mx et max_age.
- ›Modes : aucun, test, application.
- ›La stratégie doit être servie via HTTPS avec un certificat valide.
- ›Modifiez la valeur de l'identifiant chaque fois que vous mettez à jour la stratégie.
Révisé par l'équipe de recherche EmailAuth
Le chiffrement SMTP avec STARTTLS est opportuniste : si un attaquant supprime l'offre STARTTLS , le courrier revient au texte brut et personne ne le remarque. MTA-STS permet à votre domaine de déclarer que les expéditeurs doivent utiliser TLS avec un certificat valide, ou ne pas livrer du tout.
Comment configurer MTA-STS
- 1
Créer le fichier de stratégie
Hébergez https://mta-sts.yourdomain.com/.well-known/mta-sts.txt contenant la version : STSv1, le mode : testing, une ligne mx : par serveur de messagerie et max_age : 604800.
- 2
Publier l'enregistrement DNS
Ajoutez un enregistrement TXT sur _mta-sts.yourdomain.com avec v=STSv1; id=20261102.
- 3
Ajouter TLS-RPT
Publiez _smtp._tls.yourdomain.com avec v=TLSRPTv1; rua=mailto:tls@yourdomain.com pour obtenir des rapports d'échec.
- 4
Déplacer pour faire respecter
Une fois que les rapports indiquent une livraison propre, changez de mode pour appliquer et mettre à jour l'identifiant.
L'hébergement est la partie la plus difficile
La stratégie nécessite un hôte HTTPS avec un certificat valide. EmailAuth héberge MTA-STS pour vous via un CNAME .
Questions fréquemment posées
Qu’est-ce que MTA-STS ?
Une norme qui indique aux serveurs d'envoi que votre domaine nécessite un cryptage TLS avec un certificat valide, empêchant ainsi les rétrogradations et les attaques de l'homme du milieu sur le courrier entrant.
MTA-STS est-il nécessaire ?
Il n'est pas requis pour la livraison, mais sans cela, le cryptage STARTTLS peut être supprimé silencieusement. Il est recommandé par les frameworks de sécurité et pris en charge par Gmail , Microsoft et Yahoo .
Comment configurer MTA-STS ?
Hébergez le fichier de stratégie sur mta-sts.yourdomain.com via HTTPS, publiez l'enregistrement TXT _mta-sts , ajoutez TLS-RPT pour la création de rapports, démarrez en mode test et passez à l'application.
Que signifie la stratégie MTA-STS manquante : STSFetchResult.NONE ?
Les vérifications de Microsoft n'ont pas permis de trouver un enregistrement MTA-STS ou un fichier de stratégie valide pour le domaine. Publiez les deux et assurez-vous que l’URL de la stratégie est accessible via HTTPS.
Qu'est-ce que l'enregistrement DNS MTA-STS ?
Un enregistrement TXT sur _mta-sts.yourdomain.com avec la valeur v=STSv1; id=20261102 (n’importe quel identifiant unique).
[ MTA-STS guide ]
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK