MTA-STS: o que é e como configurar no seu domínio

O MTA-STS obriga os servidores de email a usarem sempre uma ligação encriptada e validada ao entregar emails ao seu domínio, evitando ataques de downgrade. Neste artigo explicamos o que é, porque importa e como configurá-lo.

O que é o MTA-STS

O MTA-STS (Mail Transfer Agent Strict Transport Security) é um mecanismo que permite ao seu domínio publicar uma política exigindo que outros servidores de email só entreguem mensagens através de uma ligação SMTP encriptada com TLS, e apenas a servidores com um certificado válido. Funciona de forma semelhante ao HSTS, mas aplicado à entrega de email em vez de tráfego web.

Porque é importante

Por padrão, o protocolo SMTP tradicional permite que a comunicação entre servidores de email caia para uma ligação não encriptada caso a encriptação falhe ou não esteja disponível – um comportamento conhecido como “encriptação oportunista”. Isto cria uma janela de oportunidade para ataques de downgrade, em que um atacante numa posição de rede intermédia força a comunicação a ocorrer sem cifra, podendo ler ou alterar o conteúdo dos emails em trânsito.

Com o MTA-STS configurado, os servidores de email que respeitam esta política deixam de aceitar essa degradação: só entregam email ao seu domínio através de uma ligação TLS válida e verificada, eliminando esta janela de vulnerabilidade.

Boas práticas

  • Começar com o modo testing na política MTA-STS, para monitorizar sem impacto antes de aplicar a política de forma estrita.
  • Configurar também o relatório TLS-RPT (TLS Reporting), que complementa o MTA-STS ao fornecer relatórios sobre falhas de negociação TLS na entrega de email.
  • Garantir que o certificado TLS do servidor de email está sempre válido e atualizado, já que qualquer falha invalida a entrega de email por servidores que respeitam MTA-STS.
  • Avançar para o modo enforce apenas depois de confirmar, através dos relatórios TLS-RPT, que não existem falhas de entrega legítima.
  • Rever a política sempre que alterar a infraestrutura de servidores de email do domínio.

Como corrigir

  1. Confirme que o servidor de email do seu domínio suporta STARTTLS com um certificado TLS válido – este é um pré-requisito para o MTA-STS.
  2. Crie um ficheiro de política MTA-STS, publicado num subdomínio específico (mta-sts.exemplo.pt), com o conteúdo da política, por exemplo:

    version: STSv1
    mode: testing
    mx: mail.exemplo.pt
    max_age: 604800
  3. Publique esse ficheiro através de HTTPS, no caminho https://mta-sts.exemplo.pt/.well-known/mta-sts.txt.
  4. Crie o registo DNS correspondente do tipo TXT em _mta-sts.exemplo.pt, indicando a versão e um identificador (id) da política:

    v=STSv1; id=20260101000000Z
  5. Configure também o registo TXT de TLS-RPT em _smtp._tls.exemplo.pt, para receber relatórios sobre falhas de negociação TLS:

    v=TLSRPTv1; rua=mailto:
  6. Mantenha a política em modo testing durante algumas semanas, analisando os relatórios TLS-RPT recebidos.
  7. Após confirmar que não existem falhas legítimas, atualize a política para o modo enforce, atualizando também o identificador (id) da política e o registo TXT correspondente.

Ativar o modo enforce demasiado cedo pode bloquear a entrega de emails legítimos se o certificado do servidor tiver algum problema – e configurar corretamente o ficheiro de política, o registo DNS e o TLS-RPT em simultâneo tem várias oportunidades de erro. Na WebDig Host, configuramos o MTA-STS do seu domínio de forma gradual e monitorizada, avançando para o modo enforce apenas quando os dados confirmam que é seguro fazê-lo.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o MTA-STS

Qual a diferença entre MTA-STS e DANE?

Ambos reforçam a segurança da entrega de email por TLS, mas de formas diferentes: o DANE depende do DNSSEC e associa certificados diretamente através de registos TLSA, enquanto o MTA-STS depende de um ficheiro de política publicado via HTTPS e não exige DNSSEC. É possível, e recomendável, implementar ambos como camadas complementares de proteção.

Preciso de DNSSEC para usar MTA-STS?

Não. Ao contrário do DANE, o MTA-STS não depende do DNSSEC, o que o torna mais simples de adotar para domínios que ainda não tenham essa configuração.

O que é o TLS-RPT e porque devo configurá-lo?

É um mecanismo complementar, detalhado na nossa página dedicada a TLS Reporting, que permite receber relatórios de outros servidores de email sobre falhas na negociação TLS ao tentar entregar mensagens ao seu domínio, ajudando a identificar problemas antes de avançar para uma política MTA-STS mais restritiva.

O MTA-STS protege os emails que eu envio ou os que recebo?

Protege principalmente a receção: obriga outros servidores a entregarem email ao seu domínio de forma encriptada e validada. Para proteger o envio a partir do seu domínio, depende da política MTA-STS configurada pelo domínio de destino.

Verifique agora o MTA-STS do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o MTA-STS do seu domínio está corretamente configurado, em poucos segundos.

Analisar o meu domínio gratuitamente com o Secure Check