Perché monitorare i report TLS-RPT?
TLS-RPT (SMTP TLS Reporting, RFC 8460) offre visibilità sugli errori di connessione TLS che interessano la Sua posta in arrivo. Senza questo meccanismo, non ha alcun modo di sapere quando i server mittenti non riescono a crittografare la posta destinata al Suo dominio.
Tre problemi comuni rilevati tramite TLS-RPT:
- Certificati scaduti : Il Suo server MX presenta un certificato TLS non valido o scaduto, bloccando le connessioni crittografate. Senza TLS-RPT, questo errore può durare giorni prima di essere scoperto.
- MTA-STS mal configurato : La Sua policy MTA-STS non corrisponde ai Suoi server MX effettivi. Le email vengono rifiutate silenziosamente dai provider conformi.
- Downgrade STARTTLS : Intermediari di rete rimuovono l'estensione STARTTLS, forzando la posta in chiaro. Il mittente non viene avvisato. Lei nemmeno.
Come configurare il monitoraggio TLS-RPT in 3 passaggi
Passaggio 1: Aggiunga il Suo dominio
Acceda e registri il dominio da monitorare. CaptainDNS genera un collettore di report HTTPS unico e il record DNS TLS-RPT corrispondente.
Passaggio 2: Verifichi la proprietà del dominio
Aggiunga il record TXT di verifica al Suo DNS. La validazione è automatica una volta rilevato il record.
Passaggio 3: Pubblichi il record TLS-RPT
Aggiunga il record TXT _smtp._tls fornito al Suo DNS. I server mittenti inizieranno a inviare report sugli errori TLS al Suo endpoint CaptainDNS.
Cos'è TLS-RPT?
TLS-RPT (SMTP TLS Reporting) è uno standard definito dalla RFC 8460. Consente ai server di posta mittenti di segnalare gli errori di negoziazione TLS al dominio destinatario.
Esempio di record DNS:
_smtp._tls.captaindns.com. IN TXT "v=TLSRPTv1; rua=https://api.captaindns.com/tls-rpt/ingest/abc123"
Il record _smtp._tls indica ai server mittenti dove inviare i loro report JSON quando una connessione TLS fallisce verso il Suo dominio.
Cosa contiene un report TLS-RPT?
| Campo | Descrizione |
|---|---|
| Organizzazione mittente | Il provider di posta che ha inviato il report |
| Periodo | Timestamp di inizio e fine della finestra di reporting |
| Policy applicate | Policy MTA-STS, DANE o STARTTLS rilevate |
| Sessioni riuscite | Numero di connessioni TLS stabilite con successo |
| Sessioni fallite | Numero di errori di negoziazione TLS con dettagli dell'errore |
Casi d'uso concreti
Incidente 1: Certificato scaduto non rilevato
Sintomo: Mittenti principali (Google, Microsoft) segnalano errori certificate-expired nei loro report SMTP TLS Reporting.
Diagnosi: La dashboard CaptainDNS mostra un picco di errori nelle ultime 24 ore, tutti legati a un certificato Let's Encrypt scaduto sul MX principale. Nel frattempo, le email in arrivo da quei provider venivano silenziosamente rifiutate.
Azione: Rinnovare il certificato TLS del server di posta. I report successivi confermano la risoluzione. Senza TLS-RPT, l'incidente sarebbe potuto durare settimane.
Incidente 2: Policy MTA-STS non sincronizzata
Sintomo: I report segnalano errori sts-policy-invalid nonostante una policy MTA-STS pubblicata.
Diagnosi: I report SMTP TLS Reporting rivelano che la policy MTA-STS fa riferimento a un server MX che non esiste più. I mittenti conformi rifiutano la consegna.
Azione: Aggiornare la policy MTA-STS per riflettere i MX attuali. La consegna si normalizza nel giro di poche ore.
FAQ - Domande frequenti
D: Cos'è un record TLS-RPT?
R: Un record TLS-RPT è un record DNS TXT posizionato su _smtp._tls.suodominio.com. Contiene una direttiva rua= che indica ai server mittenti dove inviare i report sugli errori TLS (RFC 8460).
D: TLS-RPT e MTA-STS sono collegati?
R: Sono complementari ma indipendenti. MTA-STS impone una policy di crittografia. TLS-RPT La informa quando i mittenti non riescono a rispettare tale policy. Implementarli entrambi offre una protezione completa.
D: Quanti domini posso monitorare?
R: Può monitorare fino a 10 domini da un unico account. Ogni dominio dispone del proprio collettore di report verificato.
Strumenti complementari
| Strumento | Utilità |
|---|---|
| Verifica della sintassi TLS-RPT | Validare la sintassi di un record TLS-RPT |
| Verifica del record TLS-RPT | Verificare il record TLS-RPT DNS del Suo dominio |
| Generatore TLS-RPT | Generare un record DNS TLS-RPT |
| Lettore di report TLS-RPT | Analizzare manualmente un report JSON TLS-RPT |
| Hosting MTA-STS | Ospitare gratuitamente la Sua policy MTA-STS |
Risorse utili
- RFC 8460 - SMTP TLS Reporting : Specifica ufficiale TLS-RPT
- RFC 8461 - MTA-STS : Standard complementare per imporre la crittografia SMTP
- Google: Configurare i report TLS : Guida Google Workspace per TLS-RPT