Por que monitorar os relatórios TLS-RPT?
TLS-RPT (SMTP TLS Reporting, RFC 8460) oferece visibilidade sobre as falhas de conexão TLS que afetam seu e-mail recebido. Sem esse mecanismo, você não tem como saber quando os servidores remetentes falham ao criptografar os e-mails destinados ao seu domínio. Cada falha não detectada é um e-mail potencialmente perdido - ou pior, transmitido em texto simples.
Três problemas comuns detectados via TLS-RPT:
- Certificados expirados : Seu servidor MX apresenta um certificado TLS inválido ou expirado, bloqueando as conexões criptografadas. Remetentes como Google e Microsoft abandonam silenciosamente a entrega.
- MTA-STS mal configurado : Sua política MTA-STS não corresponde aos seus servidores MX reais. Os remetentes que respeitam a política rejeitam a conexão.
- Rebaixamento STARTTLS : Intermediários de rede removem a extensão STARTTLS, forçando o e-mail a trafegar em texto simples. Você nunca fica sabendo.
Como configurar o monitoramento TLS-RPT em 3 passos
Passo 1: Adicione seu domínio
Faça login e registre o domínio a ser monitorado. O CaptainDNS gera um coletor de relatórios HTTPS exclusivo e o registro DNS TLS-RPT correspondente.
Passo 2: Verifique a propriedade do domínio
Adicione o registro TXT de verificação ao seu DNS. A validação é automática assim que o registro for detectado.
Passo 3: Publique o registro TLS-RPT
Adicione o registro TXT _smtp._tls fornecido ao seu DNS. Os servidores remetentes começarão a enviar relatórios de falha TLS para o seu endpoint CaptainDNS.
O que é TLS-RPT?
TLS-RPT (SMTP TLS Reporting) é um padrão definido pela RFC 8460. Ele permite que os servidores de e-mail remetentes relatem falhas de negociação TLS ao domínio destinatário.
Exemplo de registro DNS:
_smtp._tls.captaindns.com. IN TXT "v=TLSRPTv1; rua=https://api.captaindns.com/tls-rpt/ingest/abc123"
O registro _smtp._tls indica aos servidores remetentes para onde enviar seus relatórios JSON quando uma conexão TLS falha com o seu domínio.
O que contém um relatório TLS-RPT?
| Campo | Descrição |
|---|---|
| Organização remetente | O provedor de e-mail que enviou o relatório |
| Período | Timestamps de início e fim da janela de relatório |
| Políticas aplicadas | Políticas MTA-STS, DANE ou STARTTLS detectadas |
| Sessões bem-sucedidas | Número de conexões TLS estabelecidas com sucesso |
| Sessões com falha | Número de falhas de negociação TLS com detalhes do erro |
Casos de uso concretos
Incidente 1: Certificado expirado não detectado
Sintoma: Grandes remetentes (Google, Microsoft) reportam falhas certificate-expired em seus relatórios TLS-RPT.
Diagnóstico: O painel do CaptainDNS mostra um pico de falhas nas últimas 24h, todas relacionadas a um certificado Let's Encrypt expirado no MX principal. Sem TLS-RPT, o problema teria ficado invisível por semanas.
Ação: Renovar o certificado TLS do servidor de e-mail. Os relatórios seguintes confirmam a resolução.
Incidente 2: Política MTA-STS dessincronizada
Sintoma: Relatórios indicam falhas sts-policy-invalid apesar de uma política MTA-STS publicada.
Diagnóstico: Os relatórios TLS-RPT revelam que a política MTA-STS referencia um servidor MX que não existe mais. Remetentes estritos abandonam a entrega sem notificar o destinatário.
Ação: Atualizar a política MTA-STS para refletir os MX atuais.
FAQ - Perguntas frequentes
P: O que é um registro TLS-RPT?
R: Um registro TLS-RPT é um registro DNS TXT colocado em _smtp._tls.seudominio.com. Ele contém uma diretiva rua= que indica aos servidores remetentes para onde enviar os relatórios de falha TLS (RFC 8460).
P: Quais os riscos sem TLS-RPT?
R: Sem TLS-RPT, falhas de entrega TLS são completamente invisíveis. Um certificado expirado pode bloquear e-mails de Google e Microsoft por dias. Uma política MTA-STS desatualizada faz remetentes rejeitarem suas conexões em silêncio. Você só descobre o problema quando alguém reclama, tarde demais.
P: TLS-RPT e MTA-STS são relacionados?
R: Eles são complementares, mas independentes. O MTA-STS impõe uma política de criptografia. O TLS-RPT informa quando remetentes não conseguem cumprir essa política. Implantar ambos juntos oferece proteção completa.
P: Quantos domínios posso monitorar?
R: Você pode monitorar até 10 domínios a partir de uma única conta. Cada domínio possui seu próprio coletor de relatórios verificado.
Ferramentas complementares
| Ferramenta | Utilidade |
|---|---|
| Verificação de sintaxe TLS-RPT | Validar a sintaxe de um registro TLS-RPT |
| Verificação de registro TLS-RPT | Verificar o registro TLS-RPT DNS do seu domínio |
| Gerador TLS-RPT | Gerar um registro DNS TLS-RPT |
| Leitor de relatórios TLS-RPT | Analisar manualmente um relatório JSON TLS-RPT |
| Hospedagem MTA-STS | Hospedar gratuitamente sua política MTA-STS |
Recursos úteis
- RFC 8460 - SMTP TLS Reporting : Especificação oficial TLS-RPT
- RFC 8461 - MTA-STS : Padrão complementar para impor criptografia SMTP
- Google: Configurar relatórios TLS : Guia do Google Workspace para TLS-RPT