TLS-RPT Generator

Cómo usar este generador TLS-RPT

Paso 1: Agregar destinos de reportes

Ingrese dónde quiere recibir reportes de fallos TLS:

Email (recomendado para empezar)

mailto:tlsrpt@captaindns.com

Webhook HTTPS (para automatización)

https://tlsrpt.captaindns.com/v1/report

Puede agregar múltiples destinos - los reportes van a todos.

Paso 2: Copiar el registro generado

El generador crea un registro RFC 8460 válido:

v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com

Paso 3: Publicar en DNS

Cree un registro TXT en _smtp._tls.captaindns.com con el valor generado.

Ejemplo para captaindns.com:

• Tipo: TXT
• Host: _smtp._tls
• Valor: v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com

Paso 4: Verificar publicación

Use nuestro TLS-RPT Record Checker para confirmar la configuración correcta.

Formato de registro TLS-RPT

Componentes requeridos

Esquemas de URI soportados

mailto: - Entrega por email

rua=mailto:equipo-seguridad@captaindns.com

Los reportes llegan como archivos adjuntos JSON comprimidos.

https: - Entrega webhook

rua=https://api.captaindns.com/tlsrpt/ingest

Los reportes se envían POST como JSON con Content-Type: application/tlsrpt+gzip

Múltiples destinos

Separe con comas:

v=TLSRPTv1; rua=mailto:reports@captaindns.com,https://tlsrpt.captaindns.com/report

Autorización de reportes externos

Cuando reporta a un dominio diferente, se requiere autorización.

Escenario

Su dominio: captaindns.com Destino de reportes: mailto:reports@tlsrpt-service.com

Autorización requerida

tlsrpt-service.com debe publicar:

captaindns.com._report._tls.tlsrpt-service.com  TXT  "v=TLSRPTv1"

Usar reportes en el mismo dominio

Para evitar complejidad de autorización, use una dirección en su propio dominio:

v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com

Ejemplos por proveedor DNS

Cloudflare

1. Vaya a configuración DNS de su dominio
2. Agregue registro:
   • Tipo: TXT
   • Nombre: _smtp._tls
   • Contenido: Su valor de registro generado
   • TTL: Auto

AWS Route 53

1. Abra la zona alojada para su dominio
2. Cree registro:
   • Nombre del registro: _smtp._tls
   • Tipo de registro: TXT
   • Valor: "v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com"
   • TTL: 3600

GoDaddy / OVH

1. Vaya a configuración DNS
2. Agregue registro personalizado:
   • Host: _smtp._tls
   • Tipo: TXT
   • TTL: 3600
   • Datos: Su valor de registro generado

Configuración completa de seguridad de email

TLS-RPT es parte de la seguridad completa de transporte de email:

1. MTA-STS (Aplicar TLS)

Indica a los servidores emisores que requieran cifrado TLS.

• Generar política MTA-STS
• Verificar estado MTA-STS

2. TLS-RPT (Reportar fallos)

Reporta cuando la aplicación de TLS falla.

• Use este generador
• Verificar estado TLS-RPT

3. Implementación recomendada

1. Implementar MTA-STS con mode: testing
2. Agregar TLS-RPT para recibir reportes
3. Monitorear reportes por 2-4 semanas
4. Cambiar MTA-STS a mode: enforce
5. Continuar monitoreando via TLS-RPT

Entendiendo reportes TLS-RPT

Estructura del reporte

{
  "organization-name": "Google Inc.",
  "date-range": {
    "start-datetime": "2024-01-15T00:00:00Z",
    "end-datetime": "2024-01-16T00:00:00Z"
  },
  "contact-info": "postmaster@google.com",
  "report-id": "2024011512345",
  "policies": [{
    "policy": {
      "policy-type": "sts",
      "policy-string": ["version: STSv1", "mode: enforce", "mx: mail.captaindns.com", "max_age: 604800"],
      "policy-domain": "captaindns.com"
    },
    "summary": {
      "total-successful-session-count": 8432,
      "total-failure-session-count": 3
    },
    "failure-details": [{
      "result-type": "certificate-expired",
      "sending-mta-ip": "198.51.100.1",
      "receiving-mx-hostname": "mail.captaindns.com",
      "failed-session-count": 3
    }]
  }]
}

Campos clave explicados

FAQ - Preguntas frecuentes

P: ¿Qué es TLS-RPT y por qué lo necesito?

R: TLS-RPT (SMTP TLS Reporting) es un registro DNS que indica a los servidores de correo emisores dónde enviar reportes sobre fallos de conexión TLS. Sin él, no tiene visibilidad sobre fallos de cifrado que afectan la entrega de email.

P: ¿Dónde publico el registro generado?

R: Publique el registro generado como un registro TXT en _smtp._tls.captaindns.com. Esto funciona con cualquier proveedor DNS incluyendo Cloudflare, Route53, GoDaddy, OVH, etc.

P: ¿En qué formato están los reportes?

R: Los reportes TLS-RPT son documentos JSON, típicamente comprimidos con gzip. Incluyen: organización emisora, rango de fechas, información de política (MTA-STS/DANE), conteos de sesiones y detalles de fallos. Los reportes se envían aproximadamente cada 24 horas.

Herramientas complementarias

Recursos útiles

• RFC 8460 - SMTP TLS Reporting (especificación oficial)
• RFC 8461 - MTA-STS (protocolo complementario)
• Google - Configurar TLS reporting
• Postfix - Documentación TLS