En detalle
Un dominio publica un registro TXT de DNS en _mta-sts que indica que existe una política, y sirve la política como archivo de texto por HTTPS en /.well-known/mta-sts.txt del host mta-sts.<dominio>. La política enumera los hosts MX permitidos, un mode (testing, enforce o none) y un max_age en segundos. Los remitentes que lo admiten descargan y guardan en caché la política y, en modo enforce, se niegan a entregar si TLS falla o si el certificado no coincide con el host MX.
Por qué importa
El cifrado SMTP ordinario (STARTTLS) es oportunista y un atacante en la red puede eliminarlo. MTA-STS cierra esa brecha de degradación para el correo enviado a su dominio, y el registro complementario TLS-RPT informa de los fallos. Cree los archivos y registros con Generador de Política MTA-STS.
Ejemplo
_mta-sts.example.com. TXT "v=STSv1; id=20261028T000000Z"
version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800