Che cos'è MTA-STS?
MTA-STS consente a un dominio di richiedere che la posta in entrata venga consegnata su TLS autenticato, difendendo da attacchi di downgrade e man-in-the-middle. IPeek legge il record TXT _mta-sts e recupera il file di policy pubblicato su mta-sts.tuo-dominio. Colma la lacuna lasciata dallo STARTTLS opportunistico, che un aggressore può rimuovere silenziosamente.
Come MTA-STS pubblica e applica una policy
MTA-STS usa due componenti. Un record TXT su _mta-sts.tuo-dominio contiene una versione e un ID di policy che comunica ai server mittenti che una policy esiste e che cambia quando la aggiorni. La policy stessa risiede in un file di testo servito su HTTPS all'indirizzo https://mta-sts.tuo-dominio/.well-known/mta-sts.txt. Quel file elenca la versione, la modalità, gli hostname MX consentiti e una durata di caching max_age. Un mittente che supporta MTA-STS recupera e memorizza in cache la policy, poi rifiuta di consegnare a qualsiasi MX il cui certificato non si convalida rispetto a essa.
Come interpretare i risultati MTA-STS
IPeek mostra se il record TXT _mta-sts esiste e se il file di policy è raggiungibile su HTTPS. Il valore della modalità è ciò che conta di più. none significa che nessuna policy è in vigore, testing significa che i fallimenti vengono segnalati ma la posta scorre comunque, ed enforce significa che un mittente deve interrompere la consegna se l'autenticazione TLS fallisce. Verifica che le voci mx nella policy corrispondano ai tuoi record MX reali e che il certificato HTTPS sull'host della policy sia valido. Un max_age elevato, spesso 604800 secondi, migliora la protezione perché le policy in cache resistono alla manomissione in tempo reale.
Problemi comuni MTA-STS e come risolverli
L'errore più comune è un record TXT esistente mentre il file di policy restituisce un 404 o un reindirizzamento, il che rende la policy inutilizzabile. L'host della policy deve servire HTTPS valido, quindi un certificato scaduto o non corrispondente su mta-sts.tuo-dominio interrompe del tutto l'applicazione. Voci mx che si disallineano dal tuo DNS causano fallimenti di consegna una volta passati a enforce. Esegui il rollout prima in testing, monitora i report TLS-RPT per i fallimenti, e passa a enforce solo dopo aver confermato che ogni MX presenta un certificato valido e corrispondente.