Qu'est-ce que MTA-STS ?
MTA-STS permet à un domaine d'exiger que le courrier entrant soit acheminé via TLS authentifié, ce qui le protège contre les attaques de déclassement (downgrade) et de l'homme du milieu. IPeek lit l'enregistrement TXT _mta-sts et récupère le fichier de règles publié sur mta-sts.votre-domaine. Il comble la faille laissée par STARTTLS opportuniste, qu'un attaquant peut supprimer silencieusement.
Comment MTA-STS publie et applique une règle
MTA-STS repose sur deux éléments. Un enregistrement TXT situé à _mta-sts.votre-domaine contient une version et un identifiant de règle (policy ID) qui signale aux serveurs émetteurs qu'une règle existe et qu'elle change à chaque mise à jour. La règle elle-même réside dans un fichier texte servi en HTTPS à l'adresse https://mta-sts.votre-domaine/.well-known/mta-sts.txt. Ce fichier indique la version, le mode, les noms d'hôtes MX autorisés et une durée de mise en cache max_age. Un serveur émetteur compatible MTA-STS récupère et met en cache la règle, puis refuse la remise vers tout MX dont le certificat ne se valide pas par rapport à elle.
Comment interpréter vos résultats MTA-STS
IPeek indique si l'enregistrement TXT _mta-sts existe et si le fichier de règles est accessible en HTTPS. La valeur du mode est ce qui compte le plus. none signifie qu'aucune règle n'est en vigueur, testing signifie que les échecs sont signalés mais que le courrier circule quand même, et enforce signifie que l'émetteur doit interrompre la remise en cas d'échec de l'authentification TLS. Vérifiez que les entrées mx de la règle correspondent à vos véritables enregistrements MX et que le certificat HTTPS de l'hôte de la règle est valide. Une valeur max_age élevée, souvent 604800 secondes, renforce la protection, car les règles mises en cache résistent à une altération en temps réel.
Problèmes MTA-STS courants et comment les corriger
L'erreur la plus fréquente est un enregistrement TXT qui existe alors que le fichier de règles renvoie une erreur 404 ou une redirection, ce qui rend la règle inutilisable. L'hôte de la règle doit servir un HTTPS valide : un certificat expiré ou non concordant sur mta-sts.votre-domaine casse complètement l'application de la politique. Des entrées MX désynchronisées de votre DNS provoquent des échecs de remise dès que vous passez en mode enforce. Déployez d'abord en mode testing, surveillez les rapports TLS-RPT à la recherche d'échecs, et ne passez en enforce qu'après avoir confirmé que chaque MX présente un certificat valide et concordant.