TLS-RPT Generator

Comment utiliser ce générateur TLS-RPT

Étape 1 : Ajouter les destinations de reporting

Entrez où vous voulez recevoir les rapports d'échec TLS :

Email (recommandé pour commencer)

mailto:tlsrpt@captaindns.com

Webhook HTTPS (pour l'automatisation)

https://tlsrpt.captaindns.com/v1/report

Vous pouvez ajouter plusieurs destinations - les rapports vont à toutes.

Étape 2 : Copier l'enregistrement généré

Le générateur crée un enregistrement RFC 8460 valide :

v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com

Étape 3 : Publier dans le DNS

Créez un enregistrement TXT à _smtp._tls.captaindns.com avec la valeur générée.

Exemple pour captaindns.com :

• Type : TXT
• Hôte : _smtp._tls
• Valeur : v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com

Étape 4 : Vérifier la publication

Utilisez notre Inspecteur TLS-RPT pour confirmer la configuration correcte.

Format d'enregistrement TLS-RPT

Composants requis

Schémas URI supportés

mailto: - Livraison par email

rua=mailto:equipe-securite@captaindns.com

Les rapports arrivent en pièces jointes JSON compressées.

https: - Livraison webhook

rua=https://api.captaindns.com/tlsrpt/ingest

Les rapports sont POSTés en JSON avec Content-Type: application/tlsrpt+gzip

Plusieurs destinations

Séparez avec des virgules :

v=TLSRPTv1; rua=mailto:reports@captaindns.com,https://tlsrpt.captaindns.com/report

Autorisation de reporting externe

Quand vous envoyez des rapports à un domaine différent, une autorisation est requise.

Scénario

Votre domaine : captaindns.com Destination des rapports : mailto:reports@tlsrpt-service.com

Autorisation requise

tlsrpt-service.com doit publier :

captaindns.com._report._tls.service-tlsrpt.com  TXT  "v=TLSRPTv1"

Utiliser un reporting sur le même domaine

Pour éviter la complexité d'autorisation, utilisez une adresse sur votre propre domaine :

v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com

Exemples par fournisseur DNS

Cloudflare

1. Allez dans les paramètres DNS de votre domaine
2. Ajoutez un enregistrement :
   • Type : TXT
   • Nom : _smtp._tls
   • Contenu : Votre valeur d'enregistrement générée
   • TTL : Auto

AWS Route 53

1. Ouvrez la zone hébergée pour votre domaine
2. Créez un enregistrement :
   • Nom de l'enregistrement : _smtp._tls
   • Type d'enregistrement : TXT
   • Valeur : "v=TLSRPTv1; rua=mailto:tlsrpt@captaindns.com"
   • TTL : 3600

OVH / Google Domains

1. Allez dans la zone DNS
2. Ajoutez une entrée :
   • Sous-domaine : _smtp._tls
   • Type : TXT
   • Cible : Votre valeur d'enregistrement générée
   • TTL : 3600

Configuration complète de sécurité email

TLS-RPT fait partie de la sécurité complète du transport email :

1. MTA-STS (Appliquer TLS)

Indique aux serveurs expéditeurs d'exiger le chiffrement TLS.

• Générer une politique MTA-STS
• Vérifier le statut MTA-STS

2. TLS-RPT (Rapporter les échecs)

Rapporte quand l'application du chiffrement échoue.

• Utilisez ce générateur
• Vérifier le statut TLS-RPT

3. Déploiement recommandé

1. Déployer MTA-STS avec mode: testing
2. Ajouter TLS-RPT pour recevoir les rapports
3. Surveiller les rapports pendant 2-4 semaines
4. Passer MTA-STS à mode: enforce
5. Continuer à surveiller via TLS-RPT

Comprendre les rapports TLS-RPT

Structure du rapport

{
  "organization-name": "Google Inc.",
  "date-range": {
    "start-datetime": "2024-01-15T00:00:00Z",
    "end-datetime": "2024-01-16T00:00:00Z"
  },
  "contact-info": "postmaster@google.com",
  "report-id": "2024011512345",
  "policies": [{
    "policy": {
      "policy-type": "sts",
      "policy-string": ["version: STSv1", "mode: enforce", "mx: mail.captaindns.com", "max_age: 604800"],
      "policy-domain": "captaindns.com"
    },
    "summary": {
      "total-successful-session-count": 8432,
      "total-failure-session-count": 3
    },
    "failure-details": [{
      "result-type": "certificate-expired",
      "sending-mta-ip": "198.51.100.1",
      "receiving-mx-hostname": "mail.captaindns.com",
      "failed-session-count": 3
    }]
  }]
}

Champs clés expliqués

FAQ - Questions fréquentes

Q : Qu'est-ce que TLS-RPT et pourquoi en ai-je besoin ?

R : TLS-RPT (SMTP TLS Reporting) est un enregistrement DNS qui indique aux serveurs mail expéditeurs où envoyer les rapports d'échecs de connexion TLS. Quand les serveurs ne peuvent pas établir une connexion sécurisée avec votre domaine, TLS-RPT garantit que vous recevez des rapports détaillés. Sans lui, vous n'avez aucune visibilité sur les échecs de chiffrement affectant la livraison des emails.

Q : Où publier l'enregistrement généré ?

R : Publiez l'enregistrement généré comme enregistrement TXT à _smtp._tls.captaindns.com. Cela fonctionne avec n'importe quel fournisseur DNS incluant Cloudflare, Route53, OVH, etc.

Q : Puis-je utiliser un email externe pour les rapports ?

R : Oui, mais le domaine externe doit l'autoriser. Si vous envoyez les rapports à reports@analyseur.com pour captaindns.com, le domaine analyseur doit publier un enregistrement TXT à captaindns.com._report._tls.analyseur.com avec la valeur v=TLSRPTv1. Ou utilisez une adresse sur votre propre domaine pour éviter cette complexité.

Q : Dois-je utiliser mailto ou https pour les rapports ?

R : mailto: est plus simple - les rapports arrivent en pièces jointes email compressées. https: permet l'automatisation via webhooks. Commencez par mailto: pour la visibilité, ajoutez https: pour l'intégration avec des outils de monitoring. Vous pouvez utiliser les deux simultanément.

Q : Quel est le format des rapports ?

R : Les rapports TLS-RPT sont des documents JSON, généralement compressés gzip. Ils incluent : organisation expéditrice, période, informations de politique (MTA-STS/DANE), comptages de sessions (succès/échec), et détails des échecs. Les rapports sont envoyés environ toutes les 24 heures.

Q : Ai-je besoin de MTA-STS pour utiliser TLS-RPT ?

R : Bien que TLS-RPT puisse fonctionner seul, il est plus utile avec MTA-STS. MTA-STS applique le chiffrement TLS, TLS-RPT rapporte sur l'application. Nous recommandons de déployer MTA-STS en mode test, ajouter TLS-RPT, surveiller, puis appliquer.

Outils complémentaires

Ressources utiles

• RFC 8460 - SMTP TLS Reporting (spécification officielle)
• RFC 8461 - MTA-STS (protocole compagnon)
• Google - Configurer TLS reporting
• Postfix - Documentation TLS