Rekord raportowania TLS-RPT

Dokąd serwery odbiorcze wysyłają raporty o nieudanych dostawach TLS do tej domeny. Opcjonalny, sensowny razem z MTA-STS.

• Pomoc

TLS-RPT (SMTP TLS Reporting, RFC 8460) prosi serwery nadawcze, by informowały, kiedy nie udało im się nawiązać szyfrowanego połączenia z domeną: wygasły lub niepasujący certyfikat na hoście MX, nieudany STARTTLS, niedostępna polityka. Duzi nadawcy, tacy jak Google i Microsoft, raz dziennie wysyłają podsumowanie w JSON na opublikowany adres.

Bez niego problemy z TLS w poczcie przychodzącej są niewidoczne: wiadomości są doręczane bez szyfrowania albo — przy egzekwowanej polityce MTA-STS — wcale, i nikt o tym nie informuje.

Jak sprawdza SiteScan

Wiersz pojawia się tylko dla domen z rekordami MX. Skaner szuka rekordu TXT pod _smtp._tls.example.com zaczynającego się od v=TLSRPTv1. Jest opcjonalny i najbardziej przydatny razem z MTA-STS, więc jego brak pokazywany jest jako neutralny fakt.

Jak to skonfigurować

Dodaj jeden rekord TXT:

_smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.com"

Użyj osobnej skrzynki albo usługi do analizy raportów, bo są przeznaczone dla maszyn i przychodzą codziennie od każdego dużego nadawcy. Po przecinku można podać kilka miejsc docelowych, także adres https://. Więcej w artykule o uwierzytelnianiu poczty.