MTA-STS comporte trois parties qui doivent toutes être correctes : l'enregistrement TXT _mta-sts, un fichier de stratégie servi via HTTPS sur https://mta-sts.yourdomain.com/.well-known/mta-sts.txt et un certificat TLS valide sur cet hôte. Un échec chez l’un d’entre eux fait tomber silencieusement l’application de la loi.
L'enregistrement TXT à _mta-sts.yourdomain.com doit contenir v=STSv1; id=…. Le fichier de stratégie doit être accessible via HTTPS au chemin .well-known, répertorier vos hôtes MX et définir mode: enforce. Le sous-domaine mta-sts doit disposer d'un certificat valide et non expiré.
Utilisez d'abord mode: testing plus TLS-RPT ; vous recevrez des rapports sur les échecs de et de avant de passer à enforce.
Confirmez qu'il existe :
$ dig TXT _mta-sts.yourdomain.com +shortVérifiez votre enregistrement MTA-STS maintenant
Ouvrir le vérificateur MTA-STS gratuit →Généralement, le fichier de stratégie n'est pas accessible via HTTPS, le certificat n'est pas valide ou le id dans l'enregistrement TXT n'a pas été mis à jour après la modification de la stratégie. Les trois doivent être cohérents.
