O MTA-STS (RFC 8461) impede ataques de downgrade de TLS.
Dois componentes obrigatórios:
- Registro DNS TXT em
_mta-sts.<domain> - Arquivo de política em
https://mta-sts.<domain>/.well-known/mta-sts.txt
O arquivo de política define o modo (testing ou enforce), os hostnames MX autorizados e o max-age.
Limitação: A primeira busca da política não é protegida (TOFU: Trust On First Use).
O TLS-RPT (RFC 8460) dá visibilidade sobre as falhas de TLS:
- Registro DNS TXT em
_smtp._tls.<domain> - Recebe relatórios diários em formato JSON
- Informa conexões bem-sucedidas, detalhes das falhas e servidores afetados
Entre para acompanhar o que você já leu.