Vai al contenuto

La tua policy MTA-STS per la posta crittografata non funziona

Avviso Intero dominio Recapito delle email

Istruzioni generali per ogni causa. Apri questo articolo dal tuo report PageCheck per vedere solo la causa del tuo dominio, compilata con i suoi record.

Che cos’è

MTA-STS ha due parti: un record TXT _mta-sts.example.com che annuncia la policy e il file di policy a https://mta-sts.example.com/.well-known/mta-sts.txt che elenca i tuoi server di posta. I server mittenti leggono entrambi prima di consegnare e conservano il file per il tempo indicato dal suo max_age.

Cosa non va

Il dominio annuncia una policy MTA-STS, ma i mittenti non possono usarla. A seconda della causa, consegnano senza la sua protezione oppure, quando una policy in modalità enforce esclude un server di posta, rifiutano di consegnargli. Queste sono le cause, dal record al file:

  • C’è più di un record TXT _mta-sts. I mittenti ignorano la policy quando il record non è unico. Elimina i record in più e tienine esattamente uno, «v=STSv1; id=…».
  • Il record TXT _mta-sts non ha un id valido. Il record deve essere «v=STSv1; id=…» con un id di sole lettere e cifre, al massimo 32 caratteri.
  • Il file di policy non risponde. Controlla che il sottodominio mta-sts abbia un record DNS che punta al server o al Worker con il file, e che il server risponda in HTTPS.
  • Il certificato del file di policy non è valido. I mittenti accettano il file solo via HTTPS con un certificato valido per il sottodominio mta-sts: emettine uno (Let's Encrypt nel pannello dell’hosting; un Cloudflare Worker su un dominio personalizzato lo ottiene da solo).
  • L’indirizzo della policy risponde con qualcosa di diverso dal file. Deve rispondere con stato 200 e il file stesso: nessun reindirizzamento (nemmeno a www o al sito principale), nessuna pagina di errore.
  • Il file non è una policy valida. Servono le righe «version: STSv1», «mode:» testing, enforce o none, almeno una riga «mx:» (tranne in modalità none) e «max_age:» in secondi, al massimo 31557600.
  • La policy esclude alcuni server di posta del dominio. Ogni server di posta (MX) deve corrispondere a una riga mx, esattamente o con un’etichetta jolly (*.example.com). I mittenti che applicano la policy rifiutano di consegnare a un server escluso.

Come correggere

1. Trova la causa nell’elenco qui sopra e correggila. Apri https://mta-sts.example.com/.well-known/mta-sts.txt in un browser: deve mostrare il file come testo semplice, senza reindirizzamenti né avvisi sul certificato. Un file corretto e i record sono nell’articolo di configurazione.

2. Cambia l’id dopo ogni modifica del file. I mittenti scaricano di nuovo il file solo quando cambia l’id nel record _mta-sts. Va bene qualsiasi nuovo valore di lettere e cifre.

3. Verifica. Apri https://mta-sts.example.com/.well-known/mta-sts.txt: dovrebbe mostrare il file come testo semplice. Poi esegui di nuovo questo controllo: legge il file e confronta le sue righe mx con i tuoi server di posta. 

Fix the MTA-STS (RFC 8461) set-up of the mail domain example.com: senders cannot use its policy; find out why.
Policy file: https://mta-sts.example.com/.well-known/mta-sts.txt. MX hosts: mail.example.com.

Steps:
1. Make https://mta-sts.example.com/.well-known/mta-sts.txt answer 200 over HTTPS with a valid certificate for mta-sts.example.com, no redirect, with a valid STSv1 policy listing every MX host.
2. If the file changes, change the id in the _mta-sts TXT record (for example to 2).
3. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt and dig TXT _mta-sts.example.com +short.
Every MX host must match an mx line exactly or by one wildcard label (*.example.com).

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461

Controlla il tuo sito per sapere se ha questo problema. Controlla un sito