什么是 TLS-RPT？
TLS-RPT（SMTP TLS 报告，SMTP TLS Reporting）让一个域名能从发送方服务器收到关于 TLS 连接失败的每日报告，从而发现以不安全方式投递的邮件。IPeek 会读取 _smtp._tls TXT 记录并显示报告目的地。它通过让你看清 MTA-STS 和 DANE 策略在真实环境中的表现来补充这两者。
TLS-RPT 报告如何工作
TLS-RPT 以位于 _smtp._tls.your-domain 的单条 DNS TXT 记录发布。该记录持有一个版本标签和一个 rua= 标签，列出报告应发往何处，可以是 mailto 地址或 HTTPS 端点。支持该标准的发送方服务器会把它们与你 MX 主机一天内的 TLS 协商结果汇总，并将一份 JSON 报告投递到这些目的地。每份报告统计成功和失败的会话，并对失败进行分类，如证书验证错误或 STARTTLS 不可用，从而为你提供关于真实投递的反馈回路。
如何解读你的 TLS-RPT 结果
IPeek 确认 _smtp._tls TXT 记录是否存在，并显示它解析出的 rua 目的地。核实版本为 TLSRPTv1，且每个 rua 目标都是你实际监控的有效邮箱或 HTTPS URL。记录本身不强制任何事；它只请求报告，因此它的存在意味着发送方知道把 TLS 失败数据发往何处。报告到达后，查看失败类型：certificate-expired、验证失败和 starttls-not-supported 各自指向你接收基础设施上的一个具体修复点，趁它们尚未造成隐性投递问题时处理。
TLS-RPT 与 MTA-STS 和 DANE 的关系
MTA-STS 和 DANE 对入站邮件强制执行 TLS，但只有当你能看清它对真实流量的影响时，强制执行才是安全的。TLS-RPT 提供了这种可见性：当你以 testing 模式部署 MTA-STS 时，报告会在你切到 enforce 之前揭示哪些发送方遇到了 TLS 失败。DANE 的 TLSA 不匹配同理。把 TLS-RPT 当作你 TLS 态势的监控层，与强制机制并行部署而非取而代之，从而及早发现证书和配置问题。