Qu'est-ce que MTA-STS ?
MTA-STS (Mail Transfer Agent Strict Transport Security) est un standard de sécurité email défini dans la RFC 8461. Il permet aux propriétaires de domaines de déclarer que leurs serveurs de messagerie supportent le chiffrement TLS et que les serveurs émetteurs doivent refuser de livrer les emails si une connexion sécurisée ne peut pas être établie.
Pourquoi MTA-STS est important :
- Empêche les attaques de downgrade - Les attaquants ne peuvent pas forcer l'envoi d'emails non chiffrés
- Bloque les attaques man-in-the-middle - Les connexions chiffrées protègent le contenu des emails en transit
- Renforce la confiance - Montre que votre domaine suit les bonnes pratiques de sécurité email
- Requis par certains fournisseurs - Les grands fournisseurs comme Google recommandent MTA-STS
Composants MTA-STS
MTA-STS nécessite deux composants :
1. Enregistrement DNS TXT
Un enregistrement TXT à _mta-sts.votredomaine.com qui signale le support MTA-STS :
_mta-sts.exemple.com. IN TXT "v=STSv1; id=20240115120000"
- v=STSv1 - Version du protocole (toujours STSv1)
- id - Identifiant unique de la politique (changez-le quand vous mettez à jour la politique)
2. Fichier de politique
Un fichier texte hébergé à https://mta-sts.votredomaine.com/.well-known/mta-sts.txt :
version: STSv1
mode: enforce
mx: mail.exemple.com
mx: *.backup-mail.exemple.com
max_age: 604800
Checklist de déploiement
Étape 1 : Configurez l'hôte de la politique
- Créez un sous-domaine :
mta-sts.votredomaine.com - Obtenez un certificat HTTPS (Let's Encrypt fonctionne)
- Configurez votre serveur web pour servir le fichier de politique
Étape 2 : Créez et hébergez le fichier de politique
- Utilisez le générateur ci-dessus pour créer votre politique
- Sauvegardez-le comme
mta-sts.txt - Hébergez-le à
/.well-known/mta-sts.txt
Étape 3 : Ajoutez l'enregistrement DNS TXT
- Générez l'enregistrement DNS avec l'outil ci-dessus
- Ajoutez-le à votre DNS comme enregistrement TXT à
_mta-sts
Étape 4 : Testez et surveillez
- Utilisez notre Vérificateur MTA-STS pour valider
- Commencez en mode testing pour identifier les problèmes
- Passez en mode enforce une fois validé
FAQ - Questions fréquentes
Q : Qu'est-ce que MTA-STS et pourquoi en ai-je besoin ?
R : MTA-STS (Mail Transfer Agent Strict Transport Security) est un standard défini dans la RFC 8461 qui permet aux propriétaires de domaines de déclarer que leurs serveurs de messagerie supportent le chiffrement TLS. Il empêche les attaques man-in-the-middle et les attaques de downgrade sur la livraison des emails.
Q : Quelle est la différence entre les modes testing et enforce ?
R : En mode "testing", les serveurs émetteurs signalent les échecs via TLS-RPT mais livrent quand même les emails si TLS échoue. En mode "enforce", les serveurs doivent utiliser TLS ou rejeter la livraison. Commencez par testing pour identifier les problèmes.
Q : Comment déployer le fichier de politique MTA-STS ?
R : Hébergez le fichier de politique à https://mta-sts.votredomaine.com/.well-known/mta-sts.txt. Vous avez besoin d'un certificat HTTPS valide. Le fichier doit être servi avec Content-Type: text/plain sans redirections.
Q : Quelle valeur max_age dois-je utiliser ?
R : La directive max_age spécifie combien de temps (en secondes) les émetteurs doivent mettre en cache votre politique. Valeurs courantes : 86400 (1 jour) pour testing, 604800 (1 semaine) pour production.
Q : Puis-je utiliser des wildcards dans les patterns MX ?
R : Oui, MTA-STS supporte les patterns wildcard avec un astérisque (*) comme label le plus à gauche. Par exemple, *.mail.exemple.com correspond à n'importe quel sous-domaine.
Q : Ai-je aussi besoin d'un enregistrement TLS-RPT ?
R : Bien que non obligatoire, un enregistrement TLS-RPT est fortement recommandé avec MTA-STS pour recevoir les rapports d'échecs de connexion TLS.
Q : Comment configurer MTA-STS pour Microsoft 365 / Office 365 ?
R : Utilisez notre générateur pour créer la configuration MTA-STS pour Microsoft 365. Entrez votre domaine, sélectionnez le mode (commencez par testing), et ajoutez le pattern MX *.mail.protection.outlook.com pour couvrir les serveurs Exchange Online. Copiez l'enregistrement DNS TXT et hébergez le fichier de politique sur votre serveur web.
Q : Comment configurer MTA-STS pour Google Workspace ?
R : Notre MTA-STS Generator crée la configuration pour Google Workspace. Entrez votre domaine et ajoutez les patterns MX de Google : aspmx.l.google.com, *.aspmx.l.google.com, ou *.google.com selon vos enregistrements MX. Le générateur produit l'enregistrement DNS TXT et le fichier de politique prêts à déployer.
Outils complémentaires
| Outil | Description |
|---|---|
| Vérificateur MTA-STS | Validez votre configuration MTA-STS |
| Validateur syntaxe MTA-STS | Validez la syntaxe MTA-STS hors ligne |
| Générateur DMARC | Créez des enregistrements DMARC |