Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Voltar para Ferramentas

Verificador de MTA-STS

Verifique o registo MTA-STS de um domínio, o respetivo ficheiro de política e modo, e o registo de relatórios TLS-RPT. A mesma análise classifica o SPF, o DKIM, o DMARC e o resto da segurança de e-mail do domínio.
Começar a verificação
  • Verificação baseada em DNS
  • Análise Não Intrusiva

O que é o MTA-STS?

O MTA-STS (SMTP MTA Strict Transport Security, RFC 8461) permite a um domínio indicar aos servidores de e-mail de envio que entreguem o seu e-mail apenas através de TLS autenticado aos anfitriões MX que enumera. Tem duas partes: um registo TXT em _mta-sts seguido do domínio, com v=STSv1 e um id, e um ficheiro de política em https://mta-sts seguido do domínio em /.well-known/mta-sts.txt.

Sem ele, o STARTTLS é oportunista: um atacante que consiga eliminar a resposta STARTTLS ou redirecionar a sessão SMTP pode degradar ou intercetar a entrega (RFC 8461, secção 1).

Este verificador consulta o registo TXT, obtém o ficheiro de política através de HTTPS e lê o respetivo modo, e verifica o registo TLS-RPT em _smtp._tls seguido do domínio (RFC 8460). Não testa os certificados dos anfitriões MX.

Como a verificação MTA-STS pontua a política

80 ou mais é bom, 50 a 79 é um aviso e abaixo de 50 é mau. O MTA-STS vale 10 dos 100 pontos da classificação global de segurança de e-mail e o TLS-RPT vale 5.
mode: enforce
Pontuação máxima.
mode: testing
Obtém 80.
mode: none
Obtém 50.
Sem modo legível
Um ficheiro de política sem um modo que a verificação consiga ler obtém 70.
Sem ficheiro de política acessível
Um registo TXT sem um ficheiro de política que a verificação consiga ir buscar obtém 40.
TLS-RPT
Um registo com um endereço de relatórios rua obtém 100, e 50 sem ele.

Problemas comuns do MTA-STS e como corrigi-los

Estes são os problemas que este verificador deteta, com a alteração que corrige cada um.

Ficheiro de política inacessível

Os remetentes precisam tanto do registo TXT como do ficheiro de política. O ficheiro tem de ser servido através de HTTPS a partir do anfitrião mta-sts, com um certificado válido para esse nome.

Correção: Publique o ficheiro em /.well-known/mta-sts.txt no anfitrião mta-sts, servido como text/plain, e confirme que o nome de anfitrião é resolvido e que o respetivo certificado é válido.

Modo testing deixado ativo

No modo testing, os remetentes continuam a entregar através de ligações que falham a validação e apenas comunicam as falhas.

Correção: Quando os relatórios TLS-RPT não mostrarem falhas, altere o modo para enforce e altere o id no registo TXT para que os remetentes obtenham a nova política.

Modo da política definido como none

none indica aos remetentes que o domínio não tem política ativa. A RFC 8461 usa-o para retirar o MTA-STS (secção 8.3).

Correção: Use testing ou enforce, a menos que esteja a desativar o MTA-STS.

Sem registo MTA-STS

Sem MTA-STS, os remetentes não conseguem saber que o seu domínio espera TLS autenticado, pelo que a entrega pode ser degradada.

Correção: Publique primeiro o ficheiro de política e depois o registo TXT com um novo id.

_mta-sts.example.com TXT "v=STSv1; id=20261018T000000"

Sem endereço de relatórios TLS-RPT

Um registo TLS-RPT sem rua não envia relatórios e, sem TLS-RPT, não recebe qualquer relatório.

Correção: Publique v=TLSRPTv1 com um endereço rua em _smtp._tls para o domínio.

_smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.com"

Ficheiro de política e registos MTA-STS

_mta-sts TXT
v=STSv1 e um id com até 32 letras e algarismos. Altere o id sempre que a política mudar.
version: STSv1
O primeiro campo do ficheiro de política.
mode:
O modo da política: enforce, testing ou none.
mx:
Uma linha por nome de anfitrião MX ou padrão com caráter universal, como *.example.net.
max_age:
Durante quanto tempo os remetentes podem guardar a política em cache, em segundos, até 31557600 (cerca de um ano).
_smtp._tls TXT
O registo TLS-RPT: v=TLSRPTv1 e um endereço rua para relatórios sobre falhas de TLS.

Exemplo de ficheiro de política

version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800

Fontes

Mais ferramentas de autenticação de e-mail

Para além dos registos DNS

Estes registos impedem que terceiros enviem e-mail em nome do seu domínio exato. Não impedem o phishing a partir de domínios semelhantes nem de contas comprometidas, que enviam e-mail autenticado. O Vigilbase OS liga as ferramentas de segurança que já paga, incluindo Microsoft 365, Google Workspace, Proofpoint e Mimecast. O agente Vigil investiga incidentes de alta severidade e os analistas da Vigilbase tratam das exceções.

SOC geridoComeçar agora
Perguntas

Perguntas frequentes sobre o verificador de MTA-STS

O que faz uma verificação MTA-STS?

Consulta o registo TXT em _mta-sts do domínio, obtém o ficheiro de política de https://mta-sts seguido do domínio em /.well-known/mta-sts.txt e lê o respetivo modo. Esta também verifica o registo TLS-RPT e executa a análise completa de segurança de e-mail.Analisador de segurança de e-mailCompare as verificações públicas de segurança

Qual é a diferença entre o modo enforce e o modo testing?

No modo enforce, os servidores de envio que implementam o MTA-STS não podem entregar a um anfitrião que falhe a correspondência MX ou a validação do certificado, ou que não suporte STARTTLS. No modo testing, entregam na mesma e comunicam as falhas através do TLS-RPT. none significa que não há política ativa (RFC 8461, secção 5).Sobre a autenticação de e-mail

Onde fica o ficheiro de política MTA-STS?

Em https://mta-sts.example.com/.well-known/mta-sts.txt, com o seu próprio domínio. O anfitrião mta-sts tem de apresentar um certificado válido para esse nome (RFC 8461, secção 3.3) e o ficheiro deve ser servido como text/plain.Sobre a autenticação de e-mail

Preciso de TLS-RPT com o MTA-STS?

O TLS-RPT (RFC 8460) é um registo separado, mas o modo testing depende dele: os remetentes só comunicam falhas de política aos domínios que publicam um registo TLS-RPT (RFC 8461, secção 5).Sobre a autenticação de e-mail

Posso verificar o MTA-STS através de uma API?

Sim. Envie um POST com {"target":"example.com"} para https://vigilbase.com/api/v1/agent/tools/email-security/execute. A resposta contém o resultado completo de segurança de e-mail, com o MTA-STS em result.details.records.mtaSts e o TLS-RPT em result.details.records.tlsRpt.Execute uma verificação através da API públicaAutenticação da API e limites de pedidos