MTA-STS
Une politique, publiée via DNS et HTTPS, qui indique aux serveurs expéditeurs de livrer à votre serveur de messagerie en TLS uniquement, avec un certificat valide, ou pas du tout.
Le courrier entre serveurs utilise TLS quand les deux côtés le proposent, mais par défaut c'est opportuniste : si le certificat est incorrect ou si un attaquant supprime l'offre TLS, la livraison retombe en clair. MTA-STS ferme cette brèche pour le courrier qui vous est envoyé.
Il comporte deux parties. Un enregistrement DNS TXT à _mta-sts.<domain> annonce qu'une politique existe et porte un id que vous changez à chaque mise à jour. Un fichier de politique à https://mta-sts.<domain>/.well-known/mta-sts.txt liste vos hôtes MX et un mode : testing, enforce ou none. Un expéditeur qui prend en charge MTA-STS récupère le fichier, le met en cache pendant max_age secondes, et en mode enforce refuse de livrer si TLS échoue ou si le certificat ne correspond à aucun MX de la liste.
L'enregistrement compagnon TLS-RPT (_smtp._tls.<domain>) donne aux expéditeurs une adresse pour des rapports quotidiens sur les échecs TLS, et c'est ainsi que vous apprenez que votre politique bloque du courrier avant que vos utilisateurs ne s'en aperçoivent. DANE fait le même travail via DNSSEC plutôt que HTTPS ; les deux peuvent coexister.