Политика MTA-STS

DNS-запись, которая требует от отправляющих серверов TLS с валидным сертификатом для почты на этот домен. Необязательна: без неё письмо по пути могут откатить на открытый текст.

• Помощь

SMTP между почтовыми серверами шифруется «по возможности»: если кто-то на пути вырежет предложение STARTTLS или подсунет поддельный сертификат, отправляющий сервер откатится на открытый текст и всё равно доставит письмо. MTA-STS (RFC 8461) закрывает эту дыру: он сообщает отправителям, что ваш домен всегда принимает почту по TLS с валидным сертификатом и иначе доставлять не следует.

Как проверяет SiteScan

Строка появляется, только если у домена есть MX-записи. Сканер ищет TXT-запись на _mta-sts.example.com, начинающуюся с v=STSv1. Она необязательна, поэтому «Отсутствует» — нейтральный факт. Учтите, что TXT-запись — лишь половина настройки: сам файл политики SiteScan не загружает.

Как настроить

• Опубликуйте политику по адресу https://mta-sts.example.com/.well-known/mta-sts.txt с валидным сертификатом. В ней version: STSv1, mode: testing (позже enforce), по строке mx: на каждый почтовый хост и max_age: 604800.
• Добавьте TXT-запись _mta-sts.example.com TXT "v=STSv1; id=20260101" и меняйте id при каждом изменении политики.
• Начните с режима testing и подключите TLS-RPT, чтобы видеть сбои до перехода на enforce.

Точные значения MX обычно есть в документации почтового провайдера; см. также аутентификацию почты.