O que é TLS-RPT?
O TLS-RPT (SMTP TLS Reporting) permite que um domínio receba relatórios diários sobre falhas de conexão TLS dos servidores de envio, para que você detecte e-mails sendo entregues de forma insegura. O IPeek lê o registro TXT _smtp._tls e mostra os destinos dos relatórios. Ele complementa o MTA-STS e o DANE dando visibilidade sobre como essas políticas se comportam na prática.
Como funciona o relatório TLS-RPT
O TLS-RPT é publicado como um único registro TXT do DNS em _smtp._tls.seu-dominio. O registro contém uma tag de versão e uma tag rua= que lista para onde os relatórios devem ser enviados, seja um endereço mailto ou um endpoint HTTPS. Os servidores de envio que suportam o padrão agregam os resultados de suas negociações TLS com seus hosts MX ao longo de um dia e entregam um relatório JSON a esses destinos. Cada relatório conta sessões bem-sucedidas e falhas e categoriza as falhas, como erros de validação de certificado ou indisponibilidade de STARTTLS, dando a você um ciclo de feedback sobre a entrega real.
Como interpretar os resultados do TLS-RPT
O IPeek confirma se o registro TXT _smtp._tls existe e mostra os destinos rua que ele analisa. Verifique se a versão é TLSRPTv1 e se cada alvo rua é uma caixa de correio ou URL HTTPS válida que você realmente monitora. O registro em si não impõe nada; ele apenas solicita relatórios, então sua presença significa que os remetentes sabem para onde enviar os dados de falha de TLS. Quando os relatórios chegarem, observe os tipos de falha: certificate-expired, falhas de validação e starttls-not-supported apontam cada um para uma correção específica na sua infraestrutura de recebimento antes que causem problemas silenciosos de entrega.
Como o TLS-RPT se relaciona com MTA-STS e DANE
O MTA-STS e o DANE impõem TLS no e-mail de entrada, mas a imposição só é segura se você puder ver o que ela faz com o tráfego real. O TLS-RPT fornece essa visibilidade: quando você implanta o MTA-STS no modo testing, os relatórios revelam quais remetentes encontram falhas de TLS antes de você mudar para enforce. O mesmo vale para incompatibilidades de TLSA do DANE. Trate o TLS-RPT como a camada de monitoramento da sua postura de TLS, implantada junto com, e não no lugar de, os mecanismos de imposição, para que você detecte problemas de certificado e configuração cedo.