Qu'est-ce que TLS-RPT ?
TLS-RPT (SMTP TLS Reporting) permet à un domaine de recevoir des rapports quotidiens sur les échecs de connexion TLS de la part des serveurs émetteurs, afin de détecter le courrier acheminé de façon non sécurisée. IPeek lit l'enregistrement TXT _smtp._tls et affiche les destinations de reporting. Il complète MTA-STS et DANE en vous donnant une visibilité sur la performance réelle de ces règles sur le terrain.
Comment fonctionne le reporting TLS-RPT
TLS-RPT est publié sous forme d'un unique enregistrement TXT DNS à l'adresse _smtp._tls.votre-domaine. L'enregistrement contient une balise de version et une balise rua= indiquant où les rapports doivent être envoyés, soit une adresse mailto, soit un point de terminaison HTTPS. Les serveurs émetteurs qui prennent en charge la norme agrègent sur une journée les résultats de leurs négociations TLS avec vos hôtes MX et envoient un rapport JSON à ces destinations. Chaque rapport comptabilise les sessions réussies et échouées et catégorise les échecs, comme les erreurs de validation de certificat ou l'indisponibilité de STARTTLS, vous offrant une boucle de retour sur la remise réelle.
Comment interpréter vos résultats TLS-RPT
IPeek confirme si l'enregistrement TXT _smtp._tls existe et affiche les destinations rua qu'il analyse. Vérifiez que la version est TLSRPTv1 et que chaque cible rua est une boîte mail ou une URL HTTPS valide que vous surveillez réellement. L'enregistrement en lui-même n'applique rien ; il se contente de demander des rapports, donc sa présence signifie que les émetteurs savent où envoyer les données d'échec TLS. Une fois les rapports reçus, examinez les types d'échec : certificate-expired, échecs de validation et starttls-not-supported pointent chacun vers une correction précise à apporter à votre infrastructure de réception, avant qu'ils ne causent des problèmes de remise silencieux.
Comment TLS-RPT s'articule avec MTA-STS et DANE
MTA-STS et DANE imposent TLS sur le courrier entrant, mais cette application n'est sûre que si vous pouvez observer son effet sur le trafic réel. TLS-RPT apporte cette visibilité : lorsque vous déployez MTA-STS en mode testing, les rapports révèlent quels émetteurs rencontrent des échecs TLS avant que vous ne passiez en enforce. Il en va de même pour les non-concordances DANE TLSA. Considérez TLS-RPT comme la couche de surveillance de votre posture TLS, déployée aux côtés des mécanismes d'application, et non à leur place, afin de détecter tôt les problèmes de certificat et de configuration.