MTA-STS (Seguridad de transporte estricta para el MTA SMTP) permite a un dominio publicar una política que exige que el correo que se le envía se transmita a través de una conexión cifrada a un servidor debidamente certificado, de modo que un atacante de la red no pueda rebajar discretamente el nivel de seguridad de la conexión a texto sin cifrar.
El problema que resuelve
Los servidores de correo cifran las conexiones entre sí de forma oportunista: si el servidor receptor ofrece TLS, el remitente lo utiliza; si no es así, o si algún elemento intermedio bloquea la oferta, el remitente continúa en texto plano. Un atacante situado en la red puede aprovechar esta situación sin que ninguna de las partes se dé cuenta.
Cómo funciona
El dominio publica un pequeño registro TXT en _mta-sts.yourdomain en el que anuncia una política, y sirve dicha política a través de HTTPS en https://mta-sts.yourdomain/.well-known/mta-sts.txt. La política enumera los servidores de correo legítimos del dominio y un modo. Un servidor de envío compatible con MTA-STS la recupera y, en modo «enforce», rechaza la entrega a menos que pueda establecer una conexión TLS con un certificado válido a uno de los servidores de correo incluidos en la lista. El estándar es el RFC 8461.
testing: informa de los problemas, pero sigue entregando el correo.- «
enforce»: no se realiza la entrega a través de una conexión que incumpla la política. none: retira una política anterior.
Su complemento, el informe TLS (TLS-RPT), es un registro TXT en _smtp._tls.yourdomain que indica una dirección para los informes sobre conexiones fallidas; de este modo, se enterará cuando algo falle, en lugar de tener que adivinarlo.
Cómo comprobar un dominio
curl https://mta-sts.yourdomain.com/.well-known/mta-sts.txtMTA-STS en Mailotte
mailotte.com publica una política MTA-STS en modo «enforce» en la que figuran sus dos servidores de correo, así como un registro TLS-RPT. Puede consultar la política usted mismo en https://mta-sts.mailotte.com/.well-known/mta-sts.txt. Encontrará más información sobre cómo se protege el resto del servicio en la página de seguridad.
Preguntas
¿Es MTA-STS lo mismo que el cifrado de extremo a extremo?
No. Protege el correo mientras se transmite entre servidores. Los servidores de cada extremo siguen pudiendo leerlo.
¿Debería comenzar en modo de aplicación?
Comience en modo de prueba con los informes TLS activados, compruebe que no se produzca ningún fallo y, a continuación, cambie al modo de aplicación.
¿Todos los servidores de envío son compatibles con MTA-STS?
No; solo protege el correo enviado por los servidores que lo implementan. El correo procedente de un servidor que no lo implementa se entrega tal y como se habría hecho sin la política.
Términos relacionados
- DKIM — DomainKeys Identified Mail
- Registro MX — Registro de Mail Exchanger
- DMARC — Autenticación, notificación y conformidad de mensajes basados en dominio
- Todos los términos