Perfil TLS (interfaz → Configuration → Configuration → TLS):
- Define como mínimo TLSv1.2. Desactiva TLSv1.0/1.1.
- Suites de cifrado: elige Intermediate (perfil del Mozilla SSL Config Generator). Modern rompe demasiados relays antiguos.
MTA-STS (RFC 8461): anuncia que tu dominio exige TLS para el correo entrante. Tiene dos partes:
- TXT en el DNS en
_mta-sts.example.com:
v=STSv1; id=20260101;
Cambia el id= cada vez que modifiques la política.
- Archivo de política en
https://mta-sts.example.com/.well-known/mta-sts.txt:
version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800
TLS-RPT complementa a MTA-STS. Es un TXT en el DNS en _smtp._tls.example.com que apunta a un buzón de reportes. Recibirás reportes en JSON cuando los remitentes remotos fallen al establecer TLS contigo.
Empieza con mode: testing durante dos semanas y luego pasa a enforce cuando TLS-RPT muestre cero fallos.
Inicia sesión para llevar el registro de lo que ya leíste.