Syntaxe du MTA-STS

Comment garantir la sécurité des emails en respectant la syntaxe ?

Le MTA-STS se met en place par un enregistrement DNS de type TXT, et un fichier de configuration .txt.

L'enregistrement DNS

nom : _mta-sts[.domaine.fr]
valeur : v=STSv1; [paramètre identifiant];

• v=STSv1; – obligatoire – au debut – définit la version du protocole. Seule valeur possible actuellement.
• id=20230101abc; – obligatoire – définit un identifiant unique permettant aux expéditeurs de déterminer si la politique a été mise à jour en la comparant à l'"id" d'une politique vue précédemment.

Le fichier de configuration texte

nom : https://mta-sts.[domaine.fr]/.well-known/mta-sts.txt

valeur : 
version: STSv1
mode: [none, testing, enforce]
mx: [liste des serveurs MX du domaine]
max_age: [paramètre de durée de validité]

• version: STSv1 – obligatoire – au debut – définit la version du protocole. Seule valeur possible actuellement.
• mode: – obligatoire – définit la politique à appliquer en cas d'erreur. "none" désactive le controle et aucun rapport TLS-R n'est généré. "testing" active le controle, renseigne les rapports TLS-R et laisse tous les emails arriver. "enforce" active le controle, renseigne les rapports et bloque l'envoi des emails en cas d'erreurs.
• mx: - obligatoire - liste tous les MX (définit sur les enregistremens MX) du domaine
• max_age: - obligatoire - définit la durée de validité en secondes. : minimum accepté 86400 pour 24h, 604800 pour 1 semaine, 2678400 pour 1 mois, valeur maximale 31557600, la recommandation est 1 mois quand le mode choisi est définitif.

Les MTA (serveurs de messagerie) interrogent la présence de cet enregistrement DNS pour le domaine indiqué dans l'adresse de destination (To). Ils testent alors la politique MTA-STS et autres informations sur les MX et respectent cette politique en refusant d'envoyer l'email si les configurations ne le permettent pas (STARTTLS, certificat valide, ...). 

Vous pouvez aussi retrouver tous les détails dans la norme RFC8461.