MTA-STS (RFC 8461) empêche les attaques par rétrogradation de TLS.
Deux éléments nécessaires :
- Un enregistrement DNS TXT sur
_mta-sts.<domain> - Un fichier de politique à
https://mta-sts.<domain>/.well-known/mta-sts.txt
Le fichier de politique précise le mode (testing ou enforce), les noms d'hôte MX autorisés et le max-age.
Limite : la première récupération de la politique n'est pas protégée (TOFU : Trust On First Use).
TLS-RPT (RFC 8460) donne de la visibilité sur les échecs TLS :
- Enregistrement DNS TXT sur
_smtp._tls.<domain> - Reçoit des rapports quotidiens au format JSON
- Signale les connexions réussies, le détail des échecs et les serveurs concernés
Connectez-vous pour garder une trace de ce que vous avez lu.