Ir al contenido

Tu política MTA-STS de correo cifrado no funciona

Aviso Todo el dominio Entrega de emails

Instrucciones generales para cada causa. Abre este artículo desde tu informe de PageCheck para ver solo la causa de tu dominio, con sus registros.

Qué es

MTA-STS tiene dos partes: un registro TXT _mta-sts.example.com que anuncia la política y el archivo de política en https://mta-sts.example.com/.well-known/mta-sts.txt que lista tus servidores de correo. Los servidores remitentes leen ambos antes de entregar y guardan el archivo durante el tiempo que indica su max_age.

Qué falla

El dominio anuncia una política MTA-STS, pero los remitentes no pueden usarla. Según la causa, entregan sin su protección o, cuando una política en modo enforce deja fuera un servidor de correo, se niegan a entregarle. Estas son las causas, del registro al archivo:

  • Hay más de un registro TXT _mta-sts. Los remitentes ignoran la política cuando el registro no es único. Borra los registros sobrantes y deja exactamente uno, «v=STSv1; id=…».
  • El registro TXT _mta-sts no tiene un id válido. El registro debe ser «v=STSv1; id=…» con un id solo de letras y dígitos, de 32 caracteres como máximo.
  • El archivo de política no responde. Comprueba que el subdominio mta-sts tiene un registro DNS que apunta al servidor o Worker con el archivo, y que el servidor responde por HTTPS.
  • El certificado del archivo de política no es válido. Los remitentes solo aceptan el archivo por HTTPS con un certificado válido para el subdominio mta-sts: emite uno (Let's Encrypt en el panel del hosting; un Cloudflare Worker con dominio personalizado lo obtiene solo).
  • La dirección de la política responde con algo distinto del archivo. Debe responder con estado 200 y el propio archivo: sin redirección (ni siquiera a www o al sitio principal) y sin página de error.
  • El archivo no es una política válida. Necesita las líneas «version: STSv1», «mode:» testing, enforce o none, al menos una línea «mx:» (salvo en modo none) y «max_age:» en segundos, 31557600 como máximo.
  • La política deja fuera algunos servidores de correo del dominio. Cada servidor de correo (MX) debe coincidir con una línea mx, exactamente o con una etiqueta comodín (*.example.com). Los remitentes que aplican la política se niegan a entregar a un servidor que quede fuera.

Cómo arreglarlo

1. Busca la causa en la lista de arriba y corrígela. Abre https://mta-sts.example.com/.well-known/mta-sts.txt en un navegador: debe mostrar el archivo como texto plano, sin redirección ni aviso de certificado. Un archivo correcto y los registros están en el artículo de configuración.

2. Cambia el id después de cada cambio del archivo. Los remitentes vuelven a descargar el archivo solo cuando cambia el id del registro _mta-sts. Sirve cualquier valor nuevo de letras y dígitos.

3. Compruébalo. Abre https://mta-sts.example.com/.well-known/mta-sts.txt: debería mostrar el archivo como texto plano. Después vuelve a ejecutar esta comprobación: lee el archivo y compara sus líneas mx con tus servidores de correo. 

Fix the MTA-STS (RFC 8461) set-up of the mail domain example.com: senders cannot use its policy; find out why.
Policy file: https://mta-sts.example.com/.well-known/mta-sts.txt. MX hosts: mail.example.com.

Steps:
1. Make https://mta-sts.example.com/.well-known/mta-sts.txt answer 200 over HTTPS with a valid certificate for mta-sts.example.com, no redirect, with a valid STSv1 policy listing every MX host.
2. If the file changes, change the id in the _mta-sts TXT record (for example to 2).
3. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt and dig TXT _mta-sts.example.com +short.
Every MX host must match an mx line exactly or by one wildcard label (*.example.com).

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461

Revisa tu sitio para ver si tiene este problema. Revisar un sitio web