¿Qué es TLS-RPT?
TLS-RPT (SMTP TLS Reporting) permite que un dominio reciba informes diarios sobre fallos de conexión TLS de los servidores remitentes, para que detectes correo entregado de forma insegura. IPeek lee el registro TXT _smtp._tls y muestra los destinos de los informes. Complementa MTA-STS y DANE al darte visibilidad sobre cómo rinden esas políticas en el mundo real.
Cómo funcionan los informes TLS-RPT
TLS-RPT se publica como un único registro DNS TXT en _smtp._tls.tu-dominio. El registro contiene una etiqueta de versión y una etiqueta rua= que indica dónde deben enviarse los informes, ya sea una dirección mailto o un endpoint HTTPS. Los servidores remitentes que admiten el estándar agregan los resultados de sus negociaciones TLS con tus hosts MX a lo largo de un día y entregan un informe JSON a esos destinos. Cada informe cuenta las sesiones exitosas y fallidas y categoriza los fallos, como errores de validación de certificado o la ausencia de STARTTLS, dándote un bucle de retroalimentación sobre la entrega real.
Cómo leer tus resultados de TLS-RPT
IPeek confirma si el registro TXT _smtp._tls existe y muestra los destinos rua que analiza. Verifica que la versión sea TLSRPTv1 y que cada destino rua sea un buzón válido o una URL HTTPS que realmente monitorices. El registro en sí no impone nada; solo solicita informes, así que su presencia significa que los remitentes saben dónde enviar los datos de fallos TLS. Cuando lleguen los informes, fíjate en los tipos de fallo: certificate-expired, fallos de validación y starttls-not-supported apuntan cada uno a un arreglo concreto en tu infraestructura receptora antes de que causen problemas de entrega silenciosos.
Cómo se relaciona TLS-RPT con MTA-STS y DANE
MTA-STS y DANE imponen TLS en el correo entrante, pero la aplicación solo es segura si puedes ver qué hace con el tráfico real. TLS-RPT aporta esa visibilidad: cuando despliegas MTA-STS en modo testing, los informes revelan qué remitentes encuentran fallos de TLS antes de que pases a enforce. Lo mismo aplica a las discrepancias TLSA de DANE. Considera TLS-RPT como la capa de monitorización de tu postura TLS, desplegada junto a los mecanismos de aplicación, no en su lugar, para que detectes problemas de certificados y configuración pronto.