¿Qué es MTA-STS?

También llamado: SMTP MTA Strict Transport Security, TLS-RPT

Definición

MTA-STS es un estándar que obliga a los servidores que envían correo a tu dominio a usar una conexión cifrada y con certificado válido. Evita que un atacante degrade la conexión para leer los mensajes.

Entre servidores, SMTP usa cifrado «oportunista»: si el otro servidor ofrece STARTTLS se cifra, y si no, el correo se envía en claro. Un atacante en medio puede eliminar la oferta de cifrado y leer todo. MTA-STS funciona como un HSTS para el correo: tu dominio declara que exige TLS.

Ejemplo

Hace falta un registro TXT y un archivo de política servido por HTTPS:

_mta-sts.example.com.  3600  IN TXT  "v=STSv1; id=20261011"
_smtp._tls.example.com. 3600 IN TXT  "v=TLSRPTv1; rua=mailto:tls-reports@example.com"

Y en https://mta-sts.example.com/.well-known/mta-sts.txt:

version: STSv1
mode: enforce
mx: mx1.example.com
mx: *.mail.example.net
max_age: 604800

mode — testing solo informa; enforce no entrega si no hay TLS válido.
mx — los servidores MX permitidos; deben coincidir con tus registros MX.
El segundo TXT (TLS-RPT) es opcional y pide informes diarios de fallos.

Errores habituales

Cambiar de proveedor de correo sin actualizar la lista mx de la política ni el id del TXT. Con enforce, los remitentes que respetan MTA-STS dejarán de entregarte correo.
Empezar directamente en enforce. Mejor testing unas semanas, revisando los informes.

¿Tienes un producto o servicio relacionado con MTA-STS? Anúnciate en este término.

Términos relacionados

Categorías: Correo Seguridad