¿Qué es MTA-STS?
MTA-STS permite que un dominio exija que el correo entrante se entregue por TLS autenticado, defendiéndose de ataques de degradación e intermediario. IPeek lee el registro TXT _mta-sts y obtiene el archivo de política publicado en mta-sts.tu-dominio. Cierra el hueco que deja el STARTTLS oportunista, que un atacante puede eliminar en silencio.
Cómo publica y aplica una política MTA-STS
MTA-STS usa dos partes. Un registro TXT en _mta-sts.tu-dominio contiene una versión y un identificador de política que indica a los servidores remitentes que existe una política y cambia cuando la actualizas. La política en sí vive en un archivo de texto plano servido sobre HTTPS en https://mta-sts.tu-dominio/.well-known/mta-sts.txt. Ese archivo lista la versión, el modo, los hostnames MX permitidos y un tiempo de caché max_age. Un remitente compatible con MTA-STS obtiene y cachea la política, y luego rechaza entregar a cualquier MX cuyo certificado no valide contra ella.
Cómo leer tus resultados de MTA-STS
IPeek muestra si el registro TXT _mta-sts existe y si el archivo de política es alcanzable por HTTPS. El valor del modo es lo más importante. none significa que no hay política en vigor, testing significa que los fallos se reportan pero el correo sigue fluyendo, y enforce significa que un remitente debe abortar la entrega si la autenticación TLS falla. Comprueba que las entradas mx de la política coincidan con tus registros MX reales y que el certificado HTTPS del host de la política sea válido. Un max_age alto, a menudo 604800 segundos, mejora la protección porque las políticas cacheadas resisten la manipulación en vivo.
Problemas habituales de MTA-STS y cómo arreglarlos
El error más común es un registro TXT que existe mientras el archivo de política devuelve un 404 o una redirección, lo que hace la política inservible. El host de la política debe servir HTTPS válido, así que un certificado caducado o que no coincide en mta-sts.tu-dominio rompe la aplicación por completo. Las entradas MX que se desincronizan con tu DNS provocan fallos de entrega en cuanto pasas a enforce. Despliega primero en testing, monitoriza los informes TLS-RPT en busca de fallos y pasa a enforce solo tras confirmar que cada MX presenta un certificado válido y coincidente.