O que é MTA-STS?
O MTA-STS permite que um domínio exija que o e-mail de entrada seja entregue por TLS autenticado, defendendo contra ataques de downgrade e man-in-the-middle. O IPeek lê o registro TXT _mta-sts e busca o arquivo de política publicado em mta-sts.seu-dominio. Ele fecha a brecha deixada pelo STARTTLS oportunista, que um atacante pode remover silenciosamente.
Como o MTA-STS publica e impõe uma política
O MTA-STS usa duas partes. Um registro TXT em _mta-sts.seu-dominio contém uma versão e um ID de política que diz aos servidores de envio que existe uma política e muda quando você a atualiza. A política em si fica em um arquivo de texto puro servido por HTTPS em https://mta-sts.seu-dominio/.well-known/mta-sts.txt. Esse arquivo lista a versão, o modo, os hostnames MX permitidos e um tempo de vida de cache max_age. Um remetente que suporta MTA-STS busca e armazena em cache a política, depois se recusa a entregar a qualquer MX cujo certificado não valide contra ela.
Como interpretar os resultados do MTA-STS
O IPeek mostra se o registro TXT _mta-sts existe e se o arquivo de política está acessível por HTTPS. O valor do modo é o que mais importa. none significa que nenhuma política está em vigor, testing significa que as falhas são reportadas mas o e-mail ainda flui, e enforce significa que um remetente deve abortar a entrega se a autenticação TLS falhar. Verifique se as entradas mx na política correspondem aos seus registros MX reais e se o certificado HTTPS no host da política é válido. Um max_age alto, frequentemente 604800 segundos, melhora a proteção porque políticas em cache resistem a adulteração ao vivo.
Problemas comuns de MTA-STS e como corrigi-los
O erro mais comum é um registro TXT que existe enquanto o arquivo de política retorna um 404 ou um redirecionamento, o que torna a política inutilizável. O host da política deve servir HTTPS válido, então um certificado expirado ou incompatível em mta-sts.seu-dominio quebra a imposição por completo. Entradas MX que ficam fora de sincronia com seu DNS causam falhas de entrega assim que você muda para enforce. Implemente primeiro em testing, monitore os relatórios TLS-RPT em busca de falhas e só passe para enforce após confirmar que cada MX apresenta um certificado válido e correspondente.