Verifique la configuración MTA-STS de su dominio. Asegúrese de que sus correos electrónicos se transmitan de forma segura mediante cifrado TLS y protéjase contra ataques de degradación y la interceptación de mensajes.
Skysnag automatiza la implementación y gestión de MTA-STS para tu dominio, garantizando que tus correos electrónicos siempre se transmitan de forma segura.
Configuración automatizada
Genera y despliega políticas MTA-STS sin necesidad de configuración manual
Gestión de registros DNS
Crea y mantiene los registros DNS necesarios para MTA-STS
Alojamiento de políticas
Hospeda tu archivo de política MTA-STS en servidores seguros y de alta disponibilidad
Integración TLS-RPT
Integración fluida con TLS-RPT para informes completos
Despliegue gradual
Avanza de manera segura desde el modo de prueba al modo de aplicación sin interrumpir el correo electrónico
Monitoreo continuo
Monitorea la efectividad de tu política MTA-STS y detecta problemas
MTA-STS (Mail Transfer Agent Strict Transport Security) es un estándar de seguridad de correo electrónico que permite a los propietarios de dominios aplicar la encriptación TLS para todos los correos entrantes. Esto evita que los atacantes intercepten los correos mediante ataques de degradación o técnicas de intermediario (man-in-the-middle).
Exige que todos los servidores de correo que se conecten a tu dominio usen cifrado TLS, evitando la transmisión de correos electrónicos en texto plano.
Evita que los atacantes obliguen a la entrega de correos electrónicos a través de conexiones no cifradas donde podrían interceptar los mensajes.
Verifica la validez de los certificados TLS presentados por los servidores de correo para prevenir ataques de intermediario.
Define cómo deben manejar los servidores de correo los fallos de entrega cuando no se cumplen los requisitos de TLS.
Las políticas MTA-STS se pueden implementar en diferentes modos según tus requisitos de seguridad:
Modo monitor: reporta fallos pero entrega los mensajes de todos modos
Modo estricto: rechaza la entrega si no se cumplen los requisitos de TLS
Sin aplicación de política: se usa para eliminar una política existente
Descubre el impacto de implementar MTA-STS con Skysnag
100%
Entrega de correo electrónico cifrada con TLS
98%
reducción de ataques de degradación
24/7
monitoreo y alertas de políticas
99.9%
tasa de entrega segura de correos electrónicos
Reúnete con uno de nuestros expertos para revisar tu informe. Te guiaremos por los problemas, explicaremos las brechas de seguridad y te mostraremos exactamente cómo Skysnag las resuelve automáticamente.
Analizar mis resultadosSkysnag te ofrece todo lo que necesitas para aplicar DMARC, automatizar SPF y DKIM, implementar MTA-STS y TLS-RPT, y activar BIMI, para que tus correos electrónicos sean seguros, cumplan con las normativas y generen confianza.
Monitor
Identifica intentos de compromiso de correo electrónico y soluciona problemas de entrega de correos electrónicos
Comply
Cumple con los requisitos de Microsoft, Google y Yahoo y visualiza los datos de envío en tiempo real
Protect
Automatiza la aplicación de DMARC para una seguridad de correo electrónico sin igual
Certify
Certifica tu marca con el más alto estándar de identidad a nivel mundial
MTA-STS (Seguridad de transporte estricta del agente de transferencia de correo) es un estándar que obliga a otros servidores de correo a entregarle correo electrónico a través de una conexión TLS cifrada. Tiene dos partes: un registro DNS TXT en _mta-sts.yourdomain.com y un archivo de política alojado en https://mta-sts.yourdomain.com/.well-known/mta-sts.txt.
MTA-STS, definido en RFC 8461, cierra una brecha en el cifrado de correo electrónico. Normalmente, STARTTLS es oportunista: un atacante puede eliminarlo y forzar el texto sin formato. MTA-STS le permite publicar una política que dice "envíeme solo a través de TLS válido" y los remitentes que cumplan con la norma se negarán a bajar de categoría.
Funciona en dos piezas. Un pequeño registro DNS TXT (v=STSv1; id=...) indica que existe una política y cuándo cambió por última vez. El archivo de política real, entregado a través de HTTPS en una ruta fija .well-known, enumera sus servidores de correo, el modo de cumplimiento y durante cuánto tiempo los remitentes deben almacenarlo en caché.
Emparejar MTA-STS con TLS-RPT: MTA-STS aplica el cifrado, TLS-RPT informa cuando falla. Implemente primero en el modo testing (que informa pero no bloquea) antes de cambiar a enforce.
MTA-STS tiene dos componentes, por lo que una verificación completa analiza tanto el registro DNS como el archivo de políticas.
Consultar el subdominio _mta-sts:
$ dig TXT _mta-sts.example.com +shortRecupere la política a través de HTTPS desde la ruta fija conocida:
$ curl https://mta-sts.example.com/.well-known/mta-sts.txtLa política debe enumerar sus hosts mx reales y un mode. enforce bloquea la entrega sin TLS; testing solo informes. El verificador de arriba valida ambas partes juntas.
_mta-sts.example.comv=STSv1; id=20261107T000000ZEl registro DNS MTA-STS. El archivo de política que señala (en /.well-known/mta-sts.txt) contiene: versión STSv1, modo: enforce, los hosts mx y max_age.
El registro DNS tiene dos etiquetas; el archivo de política tiene sus propios campos.
| Etiqueta | Tipo | Significado |
|---|---|---|
v |
Requerido (DNS) | Versión. Debe ser STSv1. |
id |
Requerido (DNS) | Una ID de política única; cámbielo cada vez que actualice el archivo de política para que los remitentes se actualicen. |
mode |
Requerido (política) | enforce (bloque no TLS), testing (solo informe) o none. |
mx |
Requerido (política) | Los nombres de host de su servidor de correo autorizado. |
max_age |
Requerido (política) | Durante cuánto tiempo (segundos) los remitentes deben almacenar en caché la política. |
Resultados comunes de MTA-STS.
| Resultado | Qué significa y qué hacer |
|---|---|
| Falta registro DNS | Publique el registro _mta-sts TXT y el archivo de política juntos; ambos son obligatorios. |
| Registro DNS presente pero archivo de política 404 | Los remitentes no pueden aplicar la política. Aloje mta-sts.txt en la ruta exacta de .well-known a través de HTTPS válido. |
| modo: prueba | Usted está informando pero no haciendo cumplir. Pase a enforce una vez que TLS-RPT no muestre fallas legítimas. |
| la lista mx es incorrecta | La entrega puede interrumpirse. Las entradas de la política mx deben coincidir con sus registros MX reales. |
MTA-STS (Seguridad de transporte estricta del agente de transferencia de correo) es un estándar que requiere que otros servidores de correo le entreguen el correo electrónico a través de una conexión TLS válida, lo que evita ataques de intercepción y degradación. Utiliza un registro DNS más un archivo de política alojado.
Verifique dos cosas: el registro DNS (dig TXT _mta-sts.yourdomain.com +short) y el archivo de políticas (https://mta-sts.yourdomain.com/.well-known/mta-sts.txt). Ambos deben estar presentes y ser válidos; el verificador de arriba hace ambas cosas.
El modo testing informa problemas de TLS (a través de TLS-RPT) sin bloquear la entrega; El modo enforce rechaza la entrega sin TLS. Comience en testing, confirme que no falla ningún correo legítimo y luego cambie a enforce.
Se complementan. MTA-STS exige la entrega cifrada; TLS-RPT le brinda informes diarios de fallas. Implemente ambos para poder pasar a la aplicación de la ley de forma segura y mantener la visibilidad.
