Não é exigido pelas regras de Gmail, Yahoo ou Microsoft para remetentes em massa, e o email funciona sem ele. Ele protege o email que você recebe contra rebaixamento e interceptação, então vale a pena quando SPF, DKIM e DMARC já estão no lugar.

Qual a diferença entre testing e enforce?

Em testing, os remetentes entregam mesmo quando a validação TLS falha e informam pelo TLS-RPT; em enforce, eles se recusam a entregar por uma conexão que falha. mode: none retira a política.

Qual a diferença entre MTA-STS e DANE?

Os dois impedem o rebaixamento do TLS. O DANE publica os dados do certificado no DNS e precisa de DNSSEC; o MTA-STS usa uma política hospedada por HTTPS e os certificados normais, então funciona sem DNSSEC.

O MTA-STS funciona com o Microsoft 365?

Sim. O Exchange Online respeita as políticas MTA-STS de outros domínios ao enviar, e você pode publicar a sua com mx: *.mail.protection.outlook.com para cobrir os servidores MX do Microsoft 365.

Por que a minha correção não vale na hora?

Os remetentes guardam a política em cache por max_age segundos e só baixam de novo quando o id do registro TXT muda. Mude o id sempre que editar o arquivo.

Verificador de MTA-STS: registro, arquivo de política e servidores MX

Em resumo: Lê os registros _mta-sts e _smtp._tls, baixa o arquivo de política por HTTPS como um servidor de envio faria e compara cada servidor MX com as linhas mx: da política. Limite: Confere a política publicada; não se conecta aos seus servidores MX pela porta 25 nem testa os certificados deles.

Um verificador de MTA-STS testa as três partes que um servidor de envio lê segundo a RFC 8461: o registro TXT _mta-sts com o seu id, o arquivo de política em https://mta-sts.seudominio/.well-known/mta-sts.txt e se cada servidor MX corresponde às linhas mx da política. Este também confere o modo, o max_age e o registro TLS-RPT que informa as falhas.

Reads _mta-sts and _smtp._tls from public DNS and fetches the policy file the way a sending server would. 10 checks a minute.

A ferramenta é a mesma da versão em inglês: os botões e os motivos de cada resultado aparecem em inglês. Atualizado em 3 de novembro de 2026 · Equipe SimpleVerifier

Como verificar uma política MTA-STS

Digite o domínio que recebe o email, por exemplo seudominio.com.br. Um host começando com mta-sts. também serve.
Clique no botão de verificação. A ferramenta lê _mta-sts e _smtp._tls no DNS público e resolve os servidores MX.
Ela baixa o arquivo de política uma vez por HTTPS, com verificação de certificado e sem redirecionamentos, e valida cada linha.
Corrija o que estiver em vermelho, mude o id no TXT sempre que editar a política e verifique de novo. Sem política, copie a política inicial sugerida.

O que é MTA-STS?

O MTA-STS (Mail Transfer Agent Strict Transport Security) permite que um domínio peça aos servidores de envio que entreguem o email dele só por TLS com certificado válido e para os servidores MX que ele indica. Sem isso, a criptografia SMTP é oportunista: quem conseguir interferir na conexão pode remover o STARTTLS e o remetente passa para texto puro sem avisar. A RFC 8461 define o padrão.

São duas partes: um TXT em _mta-sts.seudominio.com.br, v=STSv1; id=..., que indica que existe uma política, e o arquivo de política servido por HTTPS a partir de mta-sts.seudominio.com.br, protegido pelos certificados da web e não pelo DNS, o que permite funcionar sem DNSSEC.

Como configuro o MTA-STS?

Sirva o arquivo de política, publique o TXT e adicione o TLS-RPT. O arquivo em https://mta-sts.seudominio.com.br/.well-known/mta-sts.txt tem quatro tipos de linha: version: STSv1, mode: testing, uma linha mx: por servidor MX (*.mail.protection.outlook.com cobre o Microsoft 365) e max_age: em segundos. Depois publique _mta-sts TXT v=STSv1; id=20261103 e mude o id sempre que o arquivo mudar.

Comece no modo testing: os remetentes entregam mesmo quando o TLS falha, mas informam pelo TLS-RPT (RFC 8460), um TXT em _smtp._tls.seudominio.com.br com v=TLSRPTv1; rua=mailto:.... Leia os relatórios por uma ou duas semanas, passe para enforce e mude o id. O Google explica os passos para o Workspace em configurar MTA-STS e relatórios TLS.

Perguntas frequentes

Preciso de MTA-STS?: Não é exigido pelas regras de Gmail, Yahoo ou Microsoft para remetentes em massa, e o email funciona sem ele. Ele protege o email que você recebe contra rebaixamento e interceptação, então vale a pena quando SPF, DKIM e DMARC já estão no lugar.
Qual a diferença entre testing e enforce?: Em testing, os remetentes entregam mesmo quando a validação TLS falha e informam pelo TLS-RPT; em enforce, eles se recusam a entregar por uma conexão que falha. mode: none retira a política.
Qual a diferença entre MTA-STS e DANE?: Os dois impedem o rebaixamento do TLS. O DANE publica os dados do certificado no DNS e precisa de DNSSEC; o MTA-STS usa uma política hospedada por HTTPS e os certificados normais, então funciona sem DNSSEC.
O MTA-STS funciona com o Microsoft 365?: Sim. O Exchange Online respeita as políticas MTA-STS de outros domínios ao enviar, e você pode publicar a sua com mx: *.mail.protection.outlook.com para cobrir os servidores MX do Microsoft 365.
Por que a minha correção não vale na hora?: Os remetentes guardam a política em cache por max_age segundos e só baixam de novo quando o id do registro TXT muda. Mude o id sempre que editar o arquivo.

Tem uma lista? Os primeiros 100 endereços são grátis.

Entre com o Google, cole os endereços ou envie um CSV e cada um passa pela checagem SMTP real da caixa postal, com o resultado de cada linha para baixar. 100 verificações grátis, sem cartão.

Domínios catch-all e servidores que não respondem saem como arriscado, nunca como válido.

Ao continuar, você aceita os Termos de Uso e a Política de Privacidade. Terms · Privacy