Aller au contenu

Votre politique MTA-STS pour les e-mails chiffrés ne fonctionne pas

Avertissement Tout le domaine Délivrabilité des e-mails

Instructions générales pour chaque cause. Ouvrez cet article depuis votre rapport PageCheck pour ne voir que la cause de votre domaine, remplie avec ses enregistrements.

De quoi s’agit-il

MTA-STS a deux parties : un enregistrement TXT _mta-sts.example.com qui annonce la politique, et le fichier de politique à l’adresse https://mta-sts.example.com/.well-known/mta-sts.txt qui liste vos serveurs de messagerie. Les serveurs expéditeurs lisent les deux avant de livrer et gardent le fichier aussi longtemps que l’indique son max_age.

Ce qui ne va pas

Le domaine annonce une politique MTA-STS, mais les expéditeurs ne peuvent pas l’utiliser. Selon la cause, ils livrent sans sa protection ou, quand une politique en mode enforce omet un serveur de messagerie, refusent de lui livrer. Voici les causes, de l’enregistrement au fichier :

  • Il y a plus d’un enregistrement TXT _mta-sts. Les expéditeurs ignorent la politique quand l’enregistrement n’est pas unique. Supprimez les enregistrements en trop et gardez-en exactement un, « v=STSv1; id=… ».
  • L’enregistrement TXT _mta-sts n’a pas d’id valide. L’enregistrement doit être « v=STSv1; id=… » avec un id composé uniquement de lettres et de chiffres, 32 caractères au plus.
  • Le fichier de politique ne répond pas. Vérifiez que le sous-domaine mta-sts a un enregistrement DNS pointant vers le serveur ou le Worker qui contient le fichier, et que le serveur répond en HTTPS.
  • Le certificat du fichier de politique n’est pas valide. Les expéditeurs n’acceptent le fichier qu’en HTTPS avec un certificat valide pour le sous-domaine mta-sts : émettez-en un (Let's Encrypt dans le panneau d’hébergement ; un Cloudflare Worker sur un domaine personnalisé en reçoit un tout seul).
  • L’adresse de la politique répond autre chose que le fichier. Elle doit répondre avec le statut 200 et le fichier lui-même : pas de redirection (même vers www ou le site principal), pas de page d’erreur.
  • Le fichier n’est pas une politique valide. Il lui faut les lignes « version: STSv1 », « mode: » testing, enforce ou none, au moins une ligne « mx: » (sauf en mode none) et « max_age: » en secondes, 31557600 au plus.
  • La politique omet certains serveurs de messagerie du domaine. Chaque serveur de messagerie (MX) doit correspondre à une ligne mx, exactement ou avec un libellé joker (*.example.com). Les expéditeurs qui appliquent la politique refusent de livrer à un serveur omis.

Comment corriger

1. Trouver la cause dans la liste ci-dessus et la corriger. Ouvrez https://mta-sts.example.com/.well-known/mta-sts.txt dans un navigateur : le fichier doit s’afficher en texte brut, sans redirection ni avertissement de certificat. Un fichier correct et les enregistrements se trouvent dans l’article de mise en place.

2. Changer l’id après chaque modification du fichier. Les expéditeurs ne récupèrent à nouveau le fichier que si l’id de l’enregistrement _mta-sts change. N’importe quelle nouvelle valeur faite de lettres et de chiffres convient.

3. Vérifier. Ouvrez https://mta-sts.example.com/.well-known/mta-sts.txt : le fichier doit s’afficher en texte brut. Relancez ensuite ce contrôle : il lit le fichier et compare ses lignes mx avec vos serveurs de messagerie. 

Fix the MTA-STS (RFC 8461) set-up of the mail domain example.com: senders cannot use its policy; find out why.
Policy file: https://mta-sts.example.com/.well-known/mta-sts.txt. MX hosts: mail.example.com.

Steps:
1. Make https://mta-sts.example.com/.well-known/mta-sts.txt answer 200 over HTTPS with a valid certificate for mta-sts.example.com, no redirect, with a valid STSv1 policy listing every MX host.
2. If the file changes, change the id in the _mta-sts TXT record (for example to 2).
3. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt and dig TXT _mta-sts.example.com +short.
Every MX host must match an mx line exactly or by one wildcard label (*.example.com).

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461

Analysez votre site pour savoir s’il a ce problème. Analyser un site