TLS Reporting (TLS-RPT): o que é e como configurar

O TLS Reporting dá-lhe visibilidade sobre falhas na entrega segura de email ao seu domínio, algo que de outra forma passaria despercebido. Neste artigo explicamos o que é, porque importa e como configurá-lo.

O que é o TLS Reporting

O TLS-RPT (SMTP TLS Reporting) é um mecanismo que permite ao seu domínio receber relatórios periódicos, enviados por outros servidores de email, sobre falhas na negociação de ligações TLS ao tentar entregar mensagens ao seu domínio. Funciona como complemento de mecanismos como o MTA-STS e o DANE, que exigem ligações TLS encriptadas e validadas para a entrega de email.

Porque é importante

Quando ativa políticas como o MTA-STS ou o DANE, os servidores de email que respeitam essas políticas passam a recusar entregar mensagens ao seu domínio caso não consigam estabelecer uma ligação TLS válida – por exemplo, devido a um certificado expirado ou mal configurado. Sem o TLS-RPT, estas falhas de entrega ocorrem de forma silenciosa: os emails simplesmente não chegam, sem que o titular do domínio seja notificado.

Com o TLS-RPT configurado, passa a receber relatórios regulares que identificam estas falhas, permitindo corrigir problemas de certificado ou configuração antes que causem perda continuada de emails importantes.

Boas práticas

Configurar o TLS-RPT sempre que implementar MTA-STS ou DANE, e não apenas nesse momento – continue a monitorizar os relatórios de forma regular.
Utilizar um endereço de email dedicado para receber os relatórios (por exemplo, ), em vez de uma caixa de correio geral, para facilitar a análise.
Rever os relatórios recebidos periodicamente, especialmente após qualquer alteração ao certificado ou à infraestrutura de servidores de email.
Considerar o uso de uma ferramenta ou serviço de processamento de relatórios TLS-RPT, já que os relatórios são enviados em formato JSON comprimido, pouco prático para leitura manual frequente.

Como corrigir

Defina um endereço de email (ou serviço) dedicado para receber os relatórios TLS-RPT.
Crie um registo DNS do tipo TXT em _smtp._tls.exemplo.pt, indicando o destino dos relatórios, por exemplo:

v=TLSRPTv1; rua=mailto:
Se preferir receber os relatórios via HTTPS em vez de email, pode indicar um endereço https no lugar do mailto, de acordo com a sua infraestrutura.
Confirme a propagação do registo através de uma ferramenta de validação de TLS-RPT.
Aguarde a receção dos primeiros relatórios (normalmente enviados diariamente pelos principais fornecedores de email) e reveja-os para identificar eventuais falhas de negociação TLS.
Corrija quaisquer problemas identificados – por exemplo, um certificado expirado ou uma configuração incorreta de MTA-STS/DANE – e continue a monitorizar os relatórios seguintes para confirmar a resolução.

Sem TLS-RPT, pode estar a perder emails importantes há semanas sem sequer saber – os relatórios vêm em formato técnico (JSON comprimido) que exige alguma familiaridade para interpretar corretamente. Na WebDig Host, configuramos e monitorizamos os relatórios TLS-RPT do seu domínio por si, avisando-o sempre que identificamos uma falha real de entrega.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o TLS Reporting

Preciso de MTA-STS ou DANE para usar o TLS-RPT?

Não é estritamente obrigatório, mas o TLS-RPT é mais útil quando combinado com estas políticas, já que é precisamente nesses casos que as falhas de negociação TLS passam a impedir a entrega de email, tornando os relatórios essenciais para identificar o problema.

Com que frequência recebo os relatórios TLS-RPT?

Normalmente numa base diária, embora possa variar consoante o fornecedor de email que está a enviar o relatório.

Os relatórios TLS-RPT são fáceis de ler?

Vêm em formato JSON comprimido, o que os torna pouco práticos para leitura manual direta. Existem ferramentas e serviços especializados que processam e apresentam esta informação de forma mais acessível.

O TLS-RPT protege os meus emails de alguma forma?

Não diretamente – o TLS-RPT não bloqueia nem encripta nada, apenas fornece visibilidade sobre falhas de entrega segura. A proteção efetiva vem de mecanismos como o MTA-STS ou o DANE, que o TLS-RPT ajuda a monitorizar.

Verifique agora a configuração de email do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o TLS-RPT e outras proteções de email do seu domínio estão corretamente configuradas, em poucos segundos.