Le protocole MTA-STS (SMTP MTA Strict Transport Security) permet à un domaine de publier une politique exigeant que les e-mails qui lui sont adressés transitent par une connexion chiffrée vers un serveur correctement certifié, de sorte qu’un attaquant ne puisse pas discrètement faire passer la connexion en texte clair.
Le problème qu’il résout
Les serveurs de messagerie chiffrent leurs connexions entre eux de manière opportuniste : si le serveur destinataire propose le protocole TLS, l’expéditeur l’utilise ; dans le cas contraire, ou si un élément intermédiaire bloque cette offre, l’expéditeur poursuit la communication en texte clair. Un attaquant présent sur le réseau peut exploiter cette faille sans que l’une ou l’autre des parties ne s’en aperçoive.
Fonctionnement
Le domaine publie un petit enregistrement TXT à l’adresse _mta-sts.yourdomain annonçant une politique, et met cette politique à disposition via HTTPS à l’adresse https://mta-sts.yourdomain/.well-known/mta-sts.txt. La politique répertorie les hôtes de messagerie légitimes du domaine ainsi qu’un mode. Un serveur émetteur prenant en charge le protocole MTA-STS récupère ces informations et, en mode «enforce», refuse de délivrer le message à moins de pouvoir établir une connexion TLS avec un certificat valide vers l’un des serveurs répertoriés. La norme applicable est la RFC 8461.
- «
testing» — signale les problèmes mais effectue tout de même la transmission. - «
enforce» — ne pas acheminer via une connexion qui ne respecte pas la politique. none— annule une politique précédente.
Son complément, le rapport TLS (TLS-RPT), est un enregistrement TXT situé à l’adresse _smtp._tls.yourdomain, qui indique une adresse destinée à recevoir les rapports concernant les connexions ayant échoué — ce qui vous permet de savoir quand un problème survient, plutôt que de devoir le deviner.
Comment vérifier un domaine
curl https://mta-sts.yourdomain.com/.well-known/mta-sts.txtMTA-STS chez Mailotte
mailotte.com publie une politique MTA-STS en mode « enforce » répertoriant ses deux serveurs de messagerie, ainsi qu’un enregistrement TLS-RPT. Vous pouvez consulter cette politique vous-même à l’adresse https://mta-sts.mailotte.com/.well-known/mta-sts.txt. Pour en savoir plus sur la manière dont le reste du service est sécurisé, consultez la page dédiée à la sécurité.
Questions
Le protocole MTA-STS est-il identique au chiffrement de bout en bout ?
Non. Il protège les e-mails pendant leur transit entre les serveurs. Les serveurs situés à chaque extrémité peuvent toujours les lire.
Dois-je commencer en mode « enforce » ?
Commencez en mode « testing » avec les rapports TLS activés, vérifiez qu’il n’y a pas d’échec, puis passez en mode « enforce ».
Tous les serveurs d'envoi prennent-ils en charge le protocole MTA-STS ?
Non — cette fonctionnalité ne protège que les e-mails envoyés par les serveurs qui l’ont mise en œuvre. Les e-mails provenant d’un serveur qui ne la prend pas en charge sont remis comme ils l’auraient été en l’absence de cette politique.
Termes associés
- DKIM — DomainKeys Identified Mail
- Enregistrement MX — Enregistrement Mail Exchanger
- DMARC — Authentification, rapport et conformité des messages basés sur le domaine
- Tous les termes