Perché monitorare i report TLS-RPT?
TLS-RPT (SMTP TLS Reporting, RFC 8460) offre visibilità sugli errori di connessione TLS che interessano la Sua posta in arrivo. Senza questo meccanismo, non ha alcun modo di sapere quando i server mittenti non riescono a crittografare la posta destinata al Suo dominio.
Tre problemi comuni rilevati tramite TLS-RPT:
- Certificati scaduti : Il Suo server MX presenta un certificato TLS non valido o scaduto, bloccando le connessioni crittografate. Senza TLS-RPT, questo errore può durare giorni prima di essere scoperto.
- MTA-STS mal configurato : La Sua policy MTA-STS non corrisponde ai Suoi server MX effettivi. Le email vengono rifiutate silenziosamente dai provider conformi.
- Downgrade STARTTLS : Intermediari di rete rimuovono l'estensione STARTTLS, forzando la posta in chiaro. Il mittente non viene avvisato. Lei nemmeno.
Come configurare il monitoraggio TLS-RPT in 3 passaggi
Passaggio 1: Aggiunga il Suo dominio
Acceda e registri il dominio da monitorare. CaptainDNS genera un collettore di report HTTPS unico e il record DNS TLS-RPT corrispondente.
Passaggio 2: Verifichi la proprietà del dominio
Aggiunga il record TXT di verifica al Suo DNS. La validazione è automatica una volta rilevato il record.
Passaggio 3: Pubblichi il record TLS-RPT
Aggiunga il record TXT _smtp._tls fornito al Suo DNS. I server mittenti inizieranno a inviare report sugli errori TLS al Suo endpoint CaptainDNS.
Cos'è TLS-RPT?
TLS-RPT (SMTP TLS Reporting) è uno standard definito dalla RFC 8460. Consente ai server di posta mittenti di segnalare gli errori di negoziazione TLS al dominio destinatario.
Esempio di record DNS:
_smtp._tls.captaindns.com. IN TXT "v=TLSRPTv1; rua=https://api.captaindns.com/tls-rpt/ingest/abc123"
Il record _smtp._tls indica ai server mittenti dove inviare i loro report JSON quando una connessione TLS fallisce verso il Suo dominio.
Cosa contiene un report TLS-RPT?
| Campo | Descrizione |
|---|---|
| Organizzazione mittente | Il provider di posta che ha inviato il report |
| Periodo | Timestamp di inizio e fine della finestra di reporting |
| Policy applicate | Policy MTA-STS, DANE o STARTTLS rilevate |
| Sessioni riuscite | Numero di connessioni TLS stabilite con successo |
| Sessioni fallite | Numero di errori di negoziazione TLS con dettagli dell'errore |
Tipi di errore TLS-RPT (RFC 8460)
| Tipo di errore | Descrizione |
|---|---|
starttls-not-supported | Il server destinatario non supporta STARTTLS |
certificate-expired | Il certificato TLS presentato dal MX è scaduto |
certificate-host-mismatch | Il certificato non corrisponde al nome host del MX |
certificate-not-trusted | La catena di certificati non è considerata affidabile dal mittente |
validation-failure | Errore di validazione TLS generico |
sts-policy-invalid | La policy MTA-STS non ha potuto essere validata |
sts-webpki-invalid | L'host della policy MTA-STS ha un certificato Web PKI non valido |
tlsa-invalid | Il record DANE TLSA non è valido o non corrisponde |
dane-required | DANE è richiesto ma non ha potuto essere validato |
TLS-RPT vs DMARC
| TLS-RPT | DMARC | |
|---|---|---|
| Protegge | Crittografia del trasporto (SMTP TLS) | Autenticazione del mittente (SPF/DKIM) |
| Segnala | Errori di connessione TLS, errori di certificato | Errori di allineamento dell'autenticazione |
| RFC | RFC 8460 | RFC 7489 |
| Record DNS | _smtp._tls TXT | _dmarc TXT |
| Minacce rilevate | Certificati scaduti, rimozione STARTTLS, errori DANE/MTA-STS | Spoofing, phishing, impersonificazione del dominio |
I due protocolli sono complementari. Implementi il monitoraggio DMARC insieme a TLS-RPT per una visibilità completa sulla sicurezza email.
Chi invia report TLS-RPT?
I principali provider di posta che inviano report TLS-RPT quando rilevano errori TLS nella connessione al Suo dominio:
- Google (Gmail, Workspace): Invia report aggregati giornalieri su tutti i tentativi di connessione
- Microsoft (Outlook, Exchange Online): Segnala errori di negoziazione TLS per i tenant Microsoft 365
- Yahoo: Fornisce dati TLS-RPT per l'infrastruttura Yahoo Mail e AOL
- Apple (iCloud Mail): Riporta errori TLS per la consegna iCloud Mail
- Comcast: Uno dei primi ISP a implementare il reporting TLS-RPT
Casi d'uso concreti
Incidente 1: Certificato scaduto non rilevato
Sintomo: Mittenti principali (Google, Microsoft) segnalano errori certificate-expired nei loro report SMTP TLS Reporting.
Diagnosi: La dashboard CaptainDNS mostra un picco di errori nelle ultime 24 ore, tutti legati a un certificato Let's Encrypt scaduto sul MX principale. Nel frattempo, le email in arrivo da quei provider venivano silenziosamente rifiutate.
Azione: Rinnovare il certificato TLS del server di posta. I report successivi confermano la risoluzione. Senza TLS-RPT, l'incidente sarebbe potuto durare settimane.
Incidente 2: Policy MTA-STS non sincronizzata
Sintomo: I report segnalano errori sts-policy-invalid nonostante una policy MTA-STS pubblicata.
Diagnosi: I report SMTP TLS Reporting rivelano che la policy MTA-STS fa riferimento a un server MX che non esiste più. I mittenti conformi rifiutano la consegna.
Azione: Aggiornare la policy MTA-STS per riflettere i MX attuali. La consegna si normalizza nel giro di poche ore.
FAQ - Domande frequenti
D: Cos'è un record TLS-RPT?
R: Un record TLS-RPT è un record DNS TXT posizionato su _smtp._tls.suodominio.com. Contiene una direttiva rua= che indica ai server mittenti dove inviare i report sugli errori TLS (RFC 8460).
D: Il monitoraggio TLS-RPT di CaptainDNS è gratuito?
R: Sì, il servizio di monitoraggio TLS-RPT è completamente gratuito. Riteniamo che ogni dominio debba poter monitorare la propria sicurezza TLS senza vincoli tecnici.
D: Come configuro il mio dominio per inviare i report qui?
R: Aggiunga un record TXT a _smtp._tls.suodominio.com con il valore v=TLSRPTv1; rua=https://api.captaindns.com/tls-rpt/ingest/{suo-token}. Il record esatto viene fornito quando aggiunge il Suo dominio.
D: Quali formati di report sono supportati?
R: Accettiamo i report TLS-RPT in formato JSON come definito dalla RFC 8460, compressi (gzip) o meno. I report vengono accettati tramite HTTPS POST.
D: Come funziona la verifica del dominio?
R: Aggiunga un record TXT di verifica fornito da CaptainDNS al Suo DNS. Una volta rilevato, la proprietà del dominio viene confermata e il monitoraggio dei report viene attivato.
D: Ho bisogno di MTA-STS per utilizzare TLS-RPT?
R: No, TLS-RPT funziona in modo indipendente. Tuttavia, combinare MTA-STS con TLS-RPT è consigliato: MTA-STS impone la crittografia, TLS-RPT La informa quando i mittenti non riescono a rispettarla.
D: Quali rischi si corrono senza TLS-RPT?
R: Senza TLS-RPT, gli errori TLS restano invisibili. Un certificato scaduto può bloccare le email dai principali provider per giorni. Una policy MTA-STS obsoleta porta i mittenti a rifiutare silenziosamente la connessione. L'unico modo per accorgersene è quando un utente segnala il problema, spesso troppo tardi.
D: Con quale frequenza arrivano i report?
R: I report vengono analizzati e resi disponibili nella Sua dashboard entro pochi secondi dalla ricezione. La maggior parte dei provider di posta invia report quotidianamente.
D: Quali tipi di errore TLS segnala TLS-RPT?
R: TLS-RPT copre tutti i tipi di errore definiti nella RFC 8460: starttls-not-supported, certificate-expired, certificate-host-mismatch, certificate-not-trusted, validation-failure, sts-policy-invalid, sts-webpki-invalid, tlsa-invalid e dane-required. Ogni tipo indica un problema specifico nella catena di negoziazione TLS o di validazione della policy.
D: Qual è la differenza tra TLS-RPT e DMARC?
R: TLS-RPT e DMARC proteggono livelli diversi. DMARC (RFC 7489) verifica l'autenticazione del mittente tramite allineamento SPF e DKIM e combatte lo spoofing e il phishing. TLS-RPT (RFC 8460) monitora la crittografia del trasporto e segnala quando le connessioni SMTP TLS falliscono, i certificati scadono o STARTTLS viene degradato. Entrambi sono essenziali.
Strumenti complementari
| Strumento | Utilità |
|---|---|
| Verifica della sintassi TLS-RPT | Validare la sintassi di un record TLS-RPT |
| Verifica del record TLS-RPT | Verificare il record TLS-RPT DNS del Suo dominio |
| Generatore TLS-RPT | Generare un record DNS TLS-RPT |
| Lettore di report TLS-RPT | Analizzare manualmente un report JSON TLS-RPT |
| Hosting MTA-STS | Ospitare gratuitamente la Sua policy MTA-STS |
| Monitoraggio DMARC | Monitorare e analizzare i report aggregati DMARC |
Risorse utili
- RFC 8460 - SMTP TLS Reporting : Specifica ufficiale TLS-RPT
- RFC 8461 - MTA-STS : Standard complementare per imporre la crittografia SMTP
- Google: Configurare i report TLS : Guida Google Workspace per TLS-RPT