¿Qué es MTA-STS?
MTA-STS (RFC 8461) permite que un dominio les indique a los servidores de envío que entreguen su correo solo por TLS, con un certificado válido, a los hosts MX que nombra. Tiene dos partes: un registro TXT en _mta-sts.yourdomain con un id de política, y un archivo de política servido por https en mta-sts.yourdomain/.well-known/mta-sts.txt.
Cómo leer el resultado
La herramienta lee el registro y luego descarga el archivo de política. Ves el id, el modo (enforce, testing o none), los patrones MX que autoriza la política y max_age, que es el tiempo que los remitentes pueden guardarla en caché. Un registro cuyo archivo de política no se puede descargar se reporta como falla.
Beat funciona con el mismo motor, de forma programada, en las 41 verificaciones y las 25 blacklists. Lo que agrega: volver a preguntar, notar cuando una respuesta cambia y decirte qué hacer al respecto.
Problemas comunes de MTA-STS
Un archivo de política que no se puede descargar
El archivo debe servirse por https desde mta-sts.yourdomain con un certificado válido para ese nombre. Un subdominio que no existe, un 404 o un certificado inválido dejan al registro apuntando a nada.
Modo en testing
Los remitentes reportan los problemas de TLS a la dirección de tu registro TLS-RPT (RFC 8460) y entregan de todos modos. Testing es el punto de partida, y no protege nada hasta que pasas a enforce.
Un MX que la política no lista
En modo enforce, los remitentes se niegan a entregar a un host MX que no coincide con ninguna línea mx: de la política. Cambiar de proveedor de correo sin actualizar la política detiene el correo entrante.
Una política modificada con el mismo id
Los remitentes guardan la política en caché y la vuelven a descargar solo cuando cambia el id del registro TXT. Si editas el archivo sin cambiar el id, siguen usando la anterior hasta que vence max_age.