MTA-STS
Een beleid, gepubliceerd via DNS en HTTPS, dat verzendende servers vertelt alleen over TLS met een geldig certificaat bij uw mailserver af te leveren, of helemaal niet.
Mail tussen servers gebruikt TLS als beide kanten het aanbieden, maar de standaard is opportunistisch: als het certificaat niet klopt of een aanvaller het TLS-aanbod wegstript, valt de aflevering terug op platte tekst. MTA-STS dicht dat gat voor mail die naar u wordt gestuurd.
Het bestaat uit twee delen. Een DNS-TXT-record op _mta-sts.<domain> kondigt aan dat er een beleid bestaat en draagt een id die u bij elke update wijzigt. Een beleidsbestand op https://mta-sts.<domain>/.well-known/mta-sts.txt somt uw MX-hosts op en een modus: testing, enforce of none. Een afzender die MTA-STS ondersteunt haalt het bestand op, cachet het max_age seconden, en weigert in enforce-modus af te leveren als TLS faalt of het certificaat niet overeenkomt met een MX uit de lijst.
Het bijbehorende record TLS-RPT (_smtp._tls.<domain>) geeft afzenders een adres voor dagelijkse rapporten over TLS-fouten, en zo komt u erachter dat uw beleid mail blokkeert voordat uw gebruikers dat merken. DANE doet hetzelfde via DNSSEC in plaats van HTTPS; de twee kunnen naast elkaar bestaan.