Verificador MTA-STS masivo: registro, modo de política y TLS-RPT de hasta 500 dominios

MTA-STS, definido en el RFC 8461, permite a un dominio pedir a los servidores de envío que entreguen su correo solo por TLS con un certificado válido. Tiene dos partes: un registro TXT en _mta-sts.<domain> con un id, y un archivo de política en https://mta-sts.<domain>/.well-known/mta-sts.txt que indica el modo, max_age y los hosts MX permitidos.

Para cada dominio, esta herramienta comprueba que haya exactamente un registro v=STSv1 con un id válido, descarga el archivo de política por HTTPS con verificación de certificado y sin redirecciones (el RFC prohíbe seguirlas), lo analiza y compara cada host MX con las líneas mx de la política. También lee el registro TLS-RPT en _smtp._tls.<domain> (RFC 8460), donde los servidores de envío informan de fallos TLS.

Enforced: el registro, el archivo de política y cada host MX están bien, en modo enforce, así que los remitentes compatibles con MTA-STS se niegan a entregar por una conexión que no pasa las comprobaciones TLS. Testing: lo mismo, pero los remitentes solo informan de los fallos y siguen entregando. Off: modo none, la política está desactivada.

Broken significa que existe un registro pero algo impide a los remitentes usarlo, como un archivo de política que no carga, un certificado no válido en el host mta-sts o un host MX que la política no cubre, lo que en modo enforce puede bloquear correo real. Not set up significa que no hay registro v=STSv1, que es lo habitual en la mayoría de los dominios.

Es opcional y ningún proveedor de buzones lo exige para recibir tu correo. Vale la pena en dominios que reciben correo importante, y es más útil junto con TLS-RPT, para ver los fallos antes de aplicar la política. Empieza en modo testing, lee los informes y luego cambia a enforce.

Para un solo dominio con el archivo de política completo y un arreglo para cada problema, usa el verificador MTA-STS, y el generador MTA-STS (en inglés) para escribir los registros.

Los motivos más comunes son que mta-sts.<domain> no resuelve, que su certificado no cubre ese nombre, que redirige (a un host www o a una página de inicio de sesión) o que responde algo distinto de HTTP 200. Los remitentes tratan cada uno de esos casos como si no hubiera política.

Cada solicitud se identifica como SimpleVerifier, lee como máximo 64 KB, espera hasta ocho segundos y nunca se conecta a direcciones privadas. Un sitio que bloquea solicitudes automáticas puede fallar aquí y cargar en un navegador; el motivo de la fila dice lo que vimos.