MTA-STS Generator Gratuito

Cos'è MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security) è uno standard di sicurezza email definito in RFC 8461. Permette ai proprietari di domini di dichiarare che i loro server di posta supportano la crittografia TLS e che i server mittenti dovrebbero rifiutare di consegnare email se non può essere stabilita una connessione sicura.

Perché MTA-STS è importante:

• Previene attacchi di downgrade - Gli attaccanti non possono forzare l'invio di email non crittografate
• Ferma attacchi man-in-the-middle - Le connessioni crittografate proteggono il contenuto delle email in transito
• Costruisce fiducia - Mostra che il tuo dominio segue le best practice di sicurezza email

Componenti MTA-STS

MTA-STS richiede due componenti:

1. Record DNS TXT

Un record TXT su _mta-sts.tuodominio.it che segnala il supporto MTA-STS:

_mta-sts.esempio.it.  IN  TXT  "v=STSv1; id=20240115120000"

2. File di Policy

Un file di testo ospitato su https://mta-sts.tuodominio.it/.well-known/mta-sts.txt:

version: STSv1
mode: enforce
mx: mail.esempio.it
mx: *.backup-mail.esempio.it
max_age: 604800

Checklist di Deployment

Passo 1: Configura l'host della policy

1. Crea un sottodominio: mta-sts.tuodominio.it
2. Ottieni un certificato HTTPS (Let's Encrypt funziona)
3. Configura il tuo server web per servire il file di policy

Passo 2: Crea e ospita il file di policy

1. Usa il generatore sopra per creare la tua policy
2. Salvalo come mta-sts.txt
3. Ospitalo su /.well-known/mta-sts.txt

Passo 3: Aggiungi il record DNS TXT

1. Genera il record DNS con lo strumento sopra
2. Aggiungilo al tuo DNS come record TXT su _mta-sts

Passo 4: Testa e monitora

1. Usa il nostro Verificatore MTA-STS per validare
2. Inizia in modalità testing per identificare i problemi
3. Passa a modalità enforce una volta validato

FAQ - Domande frequenti

D: Cos'è MTA-STS e perché ne ho bisogno?

R: MTA-STS (Mail Transfer Agent Strict Transport Security) è uno standard definito in RFC 8461 che permette ai proprietari di domini di dichiarare che i loro server di posta supportano la crittografia TLS. Previene attacchi man-in-the-middle e attacchi di downgrade.

D: Qual è la differenza tra le modalità testing ed enforce?

R: In modalità "testing", i server mittenti segnalano i fallimenti ma consegnano comunque le email. In modalità "enforce", devono usare TLS o rifiutare la consegna. Inizia con testing per identificare i problemi.

D: Come distribuisco il file di policy MTA-STS?

R: Ospita il file su https://mta-sts.tuodominio.it/.well-known/mta-sts.txt con certificato HTTPS valido. Deve essere servito con Content-Type: text/plain senza reindirizzamenti.

D: Quale valore max_age dovrei usare?

R: Valori comuni: 86400 (1 giorno) per testing, 604800 (1 settimana) per produzione, o 31557600 (1 anno) per configurazioni stabili.

D: Posso usare wildcard nei pattern MX?

R: Sì, MTA-STS supporta pattern wildcard usando un asterisco (*) come etichetta più a sinistra. Per esempio, *.mail.esempio.it corrisponde a qualsiasi sottodominio.

D: Ho bisogno anche di un record TLS-RPT?

R: Sebbene non richiesto, TLS-RPT è altamente raccomandato insieme a MTA-STS per ricevere i report di fallimenti di connessione TLS.

D: Come configuro MTA-STS per Microsoft 365 / Office 365?

R: Usa il nostro generatore per Microsoft 365. Inserisci il tuo dominio, seleziona la modalità (inizia con testing) e aggiungi il pattern MX *.mail.protection.outlook.com per coprire i server Exchange Online. Copia il record DNS TXT e ospita il file di policy sul tuo server web.

D: Come configuro MTA-STS per Google Workspace?

R: Il nostro MTA-STS Generator crea la configurazione per Google Workspace. Inserisci il tuo dominio e aggiungi i pattern MX di Google: aspmx.l.google.com, *.aspmx.l.google.com o *.google.com in base ai tuoi record MX. Il generatore produce il record DNS TXT e il file di policy pronti per il deployment.

Strumenti complementari

Risorse utili

• RFC 8461 - SMTP MTA Strict Transport Security
• RFC 8460 - SMTP TLS Reporting