MTA-STS Generator Grátis

O que é MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security) é um padrão de segurança de email definido na RFC 8461. Permite que proprietários de domínios declarem que seus servidores de email suportam criptografia TLS e que os servidores remetentes devem recusar entregar email se uma conexão segura não puder ser estabelecida.

Por que MTA-STS é importante:

• Previne ataques de downgrade - Atacantes não podem forçar que email seja enviado sem criptografia
• Para ataques man-in-the-middle - Conexões criptografadas protegem o conteúdo do email em trânsito
• Constrói confiança - Mostra que seu domínio segue as melhores práticas de segurança de email

Componentes MTA-STS

MTA-STS requer dois componentes:

1. Registro DNS TXT

Um registro TXT em _mta-sts.seudominio.com.br que sinaliza suporte MTA-STS:

_mta-sts.exemplo.com.br.  IN  TXT  "v=STSv1; id=20240115120000"

2. Arquivo de Política

Um arquivo de texto hospedado em https://mta-sts.seudominio.com.br/.well-known/mta-sts.txt:

version: STSv1
mode: enforce
mx: mail.exemplo.com.br
mx: *.backup-mail.exemplo.com.br
max_age: 604800

Lista de Verificação de Implantação

Passo 1: Configurar o host da política

1. Crie um subdomínio: mta-sts.seudominio.com.br
2. Obtenha um certificado HTTPS (Let's Encrypt funciona)
3. Configure seu servidor web para servir o arquivo de política

Passo 2: Criar e hospedar o arquivo de política

1. Use o gerador acima para criar sua política
2. Salve-o como mta-sts.txt
3. Hospede-o em /.well-known/mta-sts.txt

Passo 3: Adicionar o registro DNS TXT

1. Gere o registro DNS com a ferramenta acima
2. Adicione-o ao seu DNS como registro TXT em _mta-sts

Passo 4: Testar e monitorar

1. Use nosso Verificador MTA-STS para validar
2. Comece no modo testing para identificar problemas
3. Mude para modo enforce uma vez validado

FAQ - Perguntas frequentes

P: O que é MTA-STS e por que preciso dele?

R: MTA-STS (Mail Transfer Agent Strict Transport Security) é um padrão definido na RFC 8461 que permite que proprietários de domínios declarem que seus servidores de email suportam criptografia TLS. Previne ataques man-in-the-middle e ataques de downgrade.

P: Qual é a diferença entre os modos testing e enforce?

R: No modo "testing", os servidores remetentes relatam falhas mas ainda entregam email. No modo "enforce", devem usar TLS ou rejeitar a entrega. Comece com testing para identificar problemas.

P: Como implanto o arquivo de política MTA-STS?

R: Hospede o arquivo em https://mta-sts.seudominio.com.br/.well-known/mta-sts.txt com certificado HTTPS válido. Deve ser servido com Content-Type: text/plain sem redirecionamentos.

P: Qual valor max_age devo usar?

R: Valores comuns: 86400 (1 dia) para testing, 604800 (1 semana) para produção, ou 31557600 (1 ano) para configurações estáveis.

P: Posso usar wildcards em padrões MX?

R: Sim, MTA-STS suporta padrões wildcard usando um asterisco (*) como o rótulo mais à esquerda. Por exemplo, *.mail.exemplo.com.br corresponde a qualquer subdomínio.

P: Também preciso de um registro TLS-RPT?

R: Embora não seja obrigatório, TLS-RPT é altamente recomendado junto com MTA-STS para receber relatórios de falhas de conexão TLS.

P: Como configuro MTA-STS para Microsoft 365 / Office 365?

R: Use nosso gerador para Microsoft 365. Digite seu domínio, selecione o modo (comece com testing) e adicione o padrão MX *.mail.protection.outlook.com para cobrir os servidores Exchange Online. Copie o registro DNS TXT e hospede o arquivo de política em seu servidor web.

P: Como configuro MTA-STS para Google Workspace?

R: Nosso MTA-STS Generator cria a configuração para Google Workspace. Digite seu domínio e adicione os padrões MX do Google: aspmx.l.google.com, *.aspmx.l.google.com ou *.google.com de acordo com seus registros MX. O gerador produz o registro DNS TXT e arquivo de política prontos para implantação.

Ferramentas complementares

Recursos úteis

• RFC 8461 - SMTP MTA Strict Transport Security
• RFC 8460 - SMTP TLS Reporting