Perfil TLS (interface → Configuration → Configuration → TLS):
- Defina o mínimo como TLSv1.2. Desative TLSv1.0/1.1.
- Conjuntos de cifras: escolha Intermediate (perfil do Mozilla SSL Config Generator). O Modern quebra relays antigos demais.
MTA-STS (RFC 8461): anuncia que o seu domínio exige TLS para e-mails de entrada. São duas partes:
- TXT no DNS em
_mta-sts.example.com:
v=STSv1; id=20260101;
Altere o id= sempre que mudar a política.
- Arquivo de política em
https://mta-sts.example.com/.well-known/mta-sts.txt:
version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800
O TLS-RPT complementa o MTA-STS. É um TXT no DNS em _smtp._tls.example.com apontando para uma caixa de e-mail de relatórios. Você recebe relatórios em JSON quando remetentes remotos não conseguem usar TLS ao enviar para você.
Comece com mode: testing por duas semanas e passe para enforce quando o TLS-RPT mostrar zero falhas.
Entre para acompanhar o que você já leu.