Verificar MTA-STS e TLS-RPT
Escreva um domínio. O registo do DNS só diz que há política; isto vai lê-la, vê se obriga a alguma coisa, e compara os seus servidores de correio com os que o domínio publica mesmo.
O registo é uma placa, não a política
_mta-sts.oseudominio diz uma só coisa: «existe uma política, vá lê-la». Todos os verificadores disto olham para esse registo, encontram-no e dão-no por coberto. A política que está por trás pode ser um 404, um servidor cujo certificado ninguém renovou, um modo que não obriga a nada, ou uma lista de servidores que deixaram de ser os seus há duas mudanças. Nos quatro casos o registo está e a proteção não.
O que isto não lhe diz
Se o seu correio vai cifrado hoje. O MTA-STS impede que um servidor que envia caia para texto simples em silêncio quando algo mexe na ligação — fala do ataque, não do dia a dia, onde o TLS oportunista já funciona. E cobre o correio que lhe ENTRA; do que o senhor manda não diz nada.
Se está aqui, isto costuma ser o passo seguinte
Todo o correio, num relatório
Isto lê dois registos e um ficheiro. O Mail Doctor junta o SPF, o DKIM, o DMARC, o MX, o DNS inverso e as listas negras, pontua tudo em dez e põe as correções pela ordem que importa.
Perguntas frequentes
- O meu registo do DNS está lá. Porque diz que não tenho política?
- Porque o registo e a política são duas coisas diferentes em dois sítios diferentes, e a segunda é a que faz o trabalho. A causa mais frequente de longe é o certificado do servidor mta-sts.: é um nome à parte, não se renova com o principal, e assim que caduca todos os servidores que enviam deixam de conseguir ler a sua política — enquanto o registo do DNS fica ali com um ar ótimo. O motivo exato está no relatório.
- O modo testing serve para começar?
- É a forma certa de começar e um mau sítio para ficar. O testing existe para que quem envia comunique o que teria falhado sem devolver correio a sério, que é precisamente o que quer durante umas semanas. Mas não obriga a nada, por isso um domínio esquecido em testing tem a aparência da proteção e nada da substância — e é o estado em que está a maioria dos que se deram ao trabalho, incluindo vários muito grandes.
- É preciso também o TLS-RPT?
- É a metade que o avisa quando a sua política partiu alguma coisa. Sem ela, um erro na política —um servidor que se esqueceu de enumerar, um certificado caducado— vê-se exatamente como o silêncio: deixa de lhe chegar correio de alguns remetentes e ninguém lhe diz porquê. Um registo TXT e um endereço onde receber os relatórios.