O que é MTA-STS?
O MTA-STS (RFC 8461) permite que um domínio diga aos servidores de envio para entregar o e-mail dele só por TLS, com um certificado válido, aos hosts MX que ele indica. Tem duas partes: um registro TXT em _mta-sts.seudominio com um id de política, e um arquivo de política servido por https em mta-sts.seudominio/.well-known/mta-sts.txt.
Como ler o resultado
A ferramenta lê o registro e depois busca o arquivo de política. Você vê o id, o modo (enforce, testing ou none), os padrões de MX que a política autoriza e o max_age, que é por quanto tempo os remetentes podem guardá-la em cache. Um registro cujo arquivo de política não pode ser buscado é reportado como falha.
Beat roda no mesmo motor, de forma agendada, em todas as 41 verificações e 25 blacklists. O que ele acrescenta: perguntar de novo, perceber quando uma resposta muda e dizer o que você deve fazer a respeito.
Problemas comuns com MTA-STS
Um arquivo de política que não pode ser buscado
O arquivo precisa ser servido por https em mta-sts.seudominio, com um certificado válido para esse nome. Um subdomínio ausente, um 404 ou um certificado inválido deixam o registro apontando para o nada.
Modo em testing
Os remetentes reportam problemas de TLS para o endereço do seu registro TLS-RPT (RFC 8460) e entregam mesmo assim. Testing é o ponto de partida, e não protege nada até você mudar para enforce.
Um MX que a política não lista
No modo enforce, os remetentes se recusam a entregar a um host MX que não corresponde a nenhuma linha mx: da política. Trocar de provedor de e-mail sem atualizar a política interrompe o e-mail recebido.
Uma política alterada com o mesmo id
Os remetentes guardam a política em cache e só a buscam de novo quando o id do registro TXT muda. Edite o arquivo sem mudar o id e eles continuam usando a antiga até o max_age expirar.