No es obligatorio en las reglas de Gmail, Yahoo ni Microsoft para remitentes masivos, y el correo funciona sin él. Protege el correo que recibes contra la degradación y la interceptación, así que vale la pena cuando ya tienes SPF, DKIM y DMARC.

¿Cuál es la diferencia entre testing y enforce?

En testing, los remitentes entregan aunque falle la validación TLS y lo informan por TLS-RPT; en enforce se niegan a entregar por una conexión que falla. mode: none retira la política.

¿Qué diferencia hay entre MTA-STS y DANE?

Los dos evitan la degradación de TLS. DANE publica los datos del certificado en el DNS y necesita DNSSEC; MTA-STS usa una política alojada por HTTPS y los certificados normales, así que funciona sin DNSSEC.

¿MTA-STS funciona con Microsoft 365?

Sí. Exchange Online respeta las políticas MTA-STS de otros dominios al enviar, y puedes publicar la tuya con mx: *.mail.protection.outlook.com para cubrir los servidores MX de Microsoft 365.

¿Por qué mi cambio no se aplica enseguida?

Los remitentes guardan la política en caché durante max_age segundos y solo la vuelven a descargar cuando cambia el id del registro TXT. Cambia el id cada vez que edites el archivo.

Verificador de MTA-STS: registro, archivo de política y servidores MX

En resumen: Lee los registros _mta-sts y _smtp._tls, descarga el archivo de política por HTTPS como lo haría un servidor de envío y compara cada servidor MX con las líneas mx: de la política. Límite: Revisa la política publicada; no se conecta a tus servidores MX por el puerto 25 ni prueba sus certificados.

Un verificador MTA-STS prueba las tres partes que lee un servidor de envío según RFC 8461: el registro TXT _mta-sts con su id, el archivo de política en https://mta-sts.tudominio/.well-known/mta-sts.txt y si cada servidor MX coincide con las líneas mx de la política. Este también revisa el modo, max_age y el registro TLS-RPT que informa los fallos.

Reads _mta-sts and _smtp._tls from public DNS and fetches the policy file the way a sending server would. 10 checks a minute.

La herramienta es la misma que en la versión en inglés: sus botones y los motivos de cada resultado aparecen en inglés. Actualizado el 3 de noviembre de 2026 · Equipo de SimpleVerifier

Cómo comprobar una política MTA-STS

Escribe el dominio que recibe el correo, por ejemplo tudominio.com. También sirve un host que empiece por mta-sts.
Pulsa el botón de comprobación. La herramienta lee _mta-sts y _smtp._tls en el DNS público y resuelve los servidores MX.
Descarga el archivo de política una vez por HTTPS, con verificación de certificado y sin redirecciones, y valida cada línea.
Corrige lo marcado en rojo, cambia el id del TXT cada vez que edites la política y vuelve a comprobar. Si no tienes política, copia la política inicial que sugiere.

¿Qué es MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security) permite a un dominio pedir a los servidores de envío que le entreguen el correo solo por TLS con un certificado válido y a los servidores MX que nombra. Sin él, el cifrado SMTP es oportunista: quien pueda interferir en la conexión puede quitar STARTTLS y el remitente pasa a texto plano sin avisar. Lo define RFC 8461.

Tiene dos partes: un TXT en _mta-sts.tudominio.com, v=STSv1; id=..., que indica que hay una política, y el archivo de política servido por HTTPS desde mta-sts.tudominio.com, protegido por los certificados web en lugar de por el DNS, lo que permite que funcione sin DNSSEC.

¿Cómo configuro MTA-STS?

Sirve el archivo de política, publica el TXT y añade TLS-RPT. El archivo en https://mta-sts.tudominio.com/.well-known/mta-sts.txt tiene cuatro tipos de línea: version: STSv1, mode: testing, una línea mx: por servidor MX (*.mail.protection.outlook.com cubre Microsoft 365) y max_age: en segundos. Luego publica _mta-sts TXT v=STSv1; id=20261103 y cambia el id cada vez que cambie el archivo.

Empieza en modo testing: los remitentes entregan aunque falle TLS, pero lo informan por TLS-RPT (RFC 8460), un TXT en _smtp._tls.tudominio.com con v=TLSRPTv1; rua=mailto:.... Lee los informes una o dos semanas, pasa a enforce y cambia el id. Google explica los pasos para Workspace en configurar MTA-STS e informes TLS.

Preguntas frecuentes

¿Necesito MTA-STS?: No es obligatorio en las reglas de Gmail, Yahoo ni Microsoft para remitentes masivos, y el correo funciona sin él. Protege el correo que recibes contra la degradación y la interceptación, así que vale la pena cuando ya tienes SPF, DKIM y DMARC.
¿Cuál es la diferencia entre testing y enforce?: En testing, los remitentes entregan aunque falle la validación TLS y lo informan por TLS-RPT; en enforce se niegan a entregar por una conexión que falla. mode: none retira la política.
¿Qué diferencia hay entre MTA-STS y DANE?: Los dos evitan la degradación de TLS. DANE publica los datos del certificado en el DNS y necesita DNSSEC; MTA-STS usa una política alojada por HTTPS y los certificados normales, así que funciona sin DNSSEC.
¿MTA-STS funciona con Microsoft 365?: Sí. Exchange Online respeta las políticas MTA-STS de otros dominios al enviar, y puedes publicar la tuya con mx: *.mail.protection.outlook.com para cubrir los servidores MX de Microsoft 365.
¿Por qué mi cambio no se aplica enseguida?: Los remitentes guardan la política en caché durante max_age segundos y solo la vuelven a descargar cuando cambia el id del registro TXT. Cambia el id cada vez que edites el archivo.

¿Tienes una lista? Las primeras 100 direcciones son gratis.

Inicia sesión con Google, pega las direcciones o sube un CSV y cada una pasa por la misma comprobación SMTP del buzón, con resultados para descargar. Sin tarjeta.

Los dominios catch-all y los servidores que no responden salen como riesgosos, nunca como válidos.

Al continuar aceptas los Términos y la Política de privacidad. Terms · Privacy