Profil TLS (interface → Configuration → Configuration → TLS) :
- Fixez le minimum à TLSv1.2. Désactivez TLSv1.0/1.1.
- Suites de chiffrement : choisissez Intermediate (profil du Mozilla SSL Config Generator). Modern casse trop de relais anciens.
MTA-STS (RFC 8461) : annonce que votre domaine exige TLS pour le mail entrant. Deux éléments :
- TXT DNS sur
_mta-sts.example.com:
v=STSv1; id=20260101;
Augmentez id= à chaque changement de politique.
- Fichier de politique sur
https://mta-sts.example.com/.well-known/mta-sts.txt:
version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800
TLS-RPT complète MTA-STS. C'est un TXT DNS sur _smtp._tls.example.com qui pointe vers une boîte de réception des rapports. Vous recevrez des rapports JSON quand des expéditeurs distants échouent à établir TLS avec vous.
Commencez en mode: testing pendant deux semaines, puis passez à enforce dès que TLS-RPT ne montre plus aucun échec.
Connectez-vous pour garder une trace de ce que vous avez lu.