En détail
Un domaine publie un enregistrement TXT DNS à _mta-sts signalant l'existence d'une politique, et sert la politique sous forme de fichier texte en HTTPS à /.well-known/mta-sts.txt sur l'hôte mta-sts.<domaine>. La politique liste les hôtes MX autorisés, un mode (testing, enforce ou none) et un max_age en secondes. Les expéditeurs qui le prennent en charge récupèrent et mettent en cache la politique et, en mode enforce, refusent de livrer si TLS échoue ou si le certificat ne correspond pas à l'hôte MX.
Pourquoi c'est important
Le chiffrement SMTP ordinaire (STARTTLS) est opportuniste et un attaquant sur le réseau peut le supprimer. MTA-STS comble cette faille de dégradation pour le courrier envoyé vers votre domaine, et l'enregistrement compagnon TLS-RPT signale les échecs. Créez les fichiers et enregistrements avec le générateur de politique MTA-STS.
Exemple
_mta-sts.example.com. TXT "v=STSv1; id=20261028T000000Z"
version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800