MTA-STS Generator Gratis

¿Qué es MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security) es un estándar de seguridad de correo definido en RFC 8461. Permite a los propietarios de dominios declarar que sus servidores de correo soportan cifrado TLS y que los servidores emisores deben rechazar entregar correo si no se puede establecer una conexión segura.

Por qué importa MTA-STS:

• Previene ataques de degradación - Los atacantes no pueden forzar que el correo se envíe sin cifrar
• Detiene ataques man-in-the-middle - Las conexiones cifradas protegen el contenido del correo en tránsito
• Construye confianza - Muestra que su dominio sigue las mejores prácticas de seguridad de correo

Componentes MTA-STS

MTA-STS requiere dos componentes:

1. Registro DNS TXT

Un registro TXT en _mta-sts.sudominio.com que señala soporte MTA-STS:

_mta-sts.ejemplo.com.  IN  TXT  "v=STSv1; id=20240115120000"

2. Archivo de Política

Un archivo de texto alojado en https://mta-sts.sudominio.com/.well-known/mta-sts.txt:

version: STSv1
mode: enforce
mx: mail.ejemplo.com
mx: *.backup-mail.ejemplo.com
max_age: 604800

Lista de Verificación de Implementación

Paso 1: Configurar el host de la política

1. Cree un subdominio: mta-sts.sudominio.com
2. Obtenga un certificado HTTPS (Let's Encrypt funciona)
3. Configure su servidor web para servir el archivo de política

Paso 2: Crear y alojar el archivo de política

1. Use el generador de arriba para crear su política
2. Guárdelo como mta-sts.txt
3. Alójelo en /.well-known/mta-sts.txt

Paso 3: Agregar el registro DNS TXT

1. Genere el registro DNS con la herramienta de arriba
2. Agréguelo a su DNS como registro TXT en _mta-sts

Paso 4: Probar y monitorear

1. Use nuestro Verificador MTA-STS para validar
2. Comience en modo testing para identificar problemas
3. Cambie a modo enforce una vez validado

FAQ - Preguntas frecuentes

P: ¿Qué es MTA-STS y por qué lo necesito?

R: MTA-STS (Mail Transfer Agent Strict Transport Security) es un estándar definido en RFC 8461 que permite a los propietarios de dominios declarar que sus servidores de correo soportan cifrado TLS. Previene ataques man-in-the-middle y ataques de degradación.

P: ¿Cuál es la diferencia entre los modos testing y enforce?

R: En modo "testing", los servidores emisores reportan fallos pero aún entregan correo. En modo "enforce", deben usar TLS o rechazar la entrega. Comience con testing para identificar problemas.

P: ¿Cómo implemento el archivo de política MTA-STS?

R: Aloje el archivo en https://mta-sts.sudominio.com/.well-known/mta-sts.txt con certificado HTTPS válido. Debe servirse con Content-Type: text/plain sin redirecciones.

P: ¿Qué valor max_age debo usar?

R: Valores comunes: 86400 (1 día) para testing, 604800 (1 semana) para producción, o 31557600 (1 año) para configuraciones estables.

P: ¿Puedo usar wildcards en patrones MX?

R: Sí, MTA-STS soporta patrones wildcard usando un asterisco (*) como la etiqueta más a la izquierda. Por ejemplo, *.mail.ejemplo.com coincide con cualquier subdominio.

P: ¿También necesito un registro TLS-RPT?

R: Aunque no es requerido, TLS-RPT es altamente recomendado junto con MTA-STS para recibir reportes de fallos de conexión TLS.

P: ¿Cómo configuro MTA-STS para Microsoft 365 / Office 365?

R: Use nuestro generador para Microsoft 365. Ingrese su dominio, seleccione el modo (comience con testing) y agregue el patrón MX *.mail.protection.outlook.com para cubrir los servidores Exchange Online. Copie el registro DNS TXT y aloje el archivo de política en su servidor web.

P: ¿Cómo configuro MTA-STS para Google Workspace?

R: Nuestro MTA-STS Generator crea la configuración para Google Workspace. Ingrese su dominio y agregue los patrones MX de Google: aspmx.l.google.com, *.aspmx.l.google.com o *.google.com según sus registros MX. El generador produce el registro DNS TXT y archivo de política listos para implementar.

Herramientas complementarias

Recursos útiles

• RFC 8461 - SMTP MTA Strict Transport Security
• RFC 8460 - SMTP TLS Reporting