TLS-RPT explicado: informes diarios sobre si el correo hacia ti va cifrado
Qué es un registro TLS-RPT, qué contienen los informes diarios, los tipos de resultado que verás y qué hacer cuando muestran fallos.
Cuando otro servidor de correo te envía un mensaje, intenta cifrar la conexión con TLS. Si falla, muchos servidores vuelven al texto sin cifrar y nadie lo nota. TLS-RPT (RFC 8460) es un registro en tu DNS que pide a esos servidores un informe breve cada día: cuántas conexiones funcionaron y cómo fallaron las demás.
El registro
Es un registro TXT en _smtp._tls bajo tu dominio de correo. El valor rua indica adónde van los informes: una dirección mailto: o un destino https:, o ambos separados por una coma.
_smtp._tls.example.com. 3600 IN TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.com"TLS-RPT funciona por sí solo: no necesitas MTA-STS para recibir informes, aunque ambos se usan juntos. Los informes cubren STARTTLS simple y, donde los publiques, las políticas MTA-STS y DANE.
Qué contiene un informe
Un informe es un archivo JSON, normalmente comprimido, que los grandes proveedores de correo envían una vez al día. Nombra a la organización que informa y la ventana de tiempo y, por cada política aplicada, cuenta las sesiones exitosas y fallidas. Para los fallos indica el tipo de resultado, la dirección del servidor emisor, el host de correo receptor y cuántas sesiones fallaron. Nunca incluye el contenido de los mensajes, asuntos ni direcciones de destinatarios.
Tipos de resultado
starttls-not-supported: tu servidor de correo no ofreció cifrado.
certificate-expired, certificate-not-trusted y certificate-host-mismatch: el certificado del servidor de correo está vencido, lo firmó una CA en la que el remitente no confía o se emitió para un nombre distinto al del host de correo.
validation-failure: la conexión TLS falló por un motivo que no es ninguno de los anteriores.
sts-policy-fetch-error, sts-policy-invalid y sts-webpki-invalid: no se pudo obtener el archivo de política MTA-STS, está mal formado o su host web tiene un certificado inválido.
tlsa-invalid y dnssec-invalid: problemas con los registros DANE o con sus firmas DNSSEC.
Qué hacer ante los fallos
Empieza por el host de correo receptor del informe. Los fallos contra un solo host apuntan a ese servidor: renueva o reemplaza su certificado, asegúrate de que el certificado nombre al host de correo (no a tu dominio) y activa STARTTLS. Los fallos de un remitente contra todos tus hosts suelen venir de su lado, y unas pocas sesiones fallidas entre miles de buenas son ruido normal.
Los fallos que empiezan justo después de publicar una política MTA-STS indican que la política y tus servidores no coinciden. Revisa las líneas mx y los certificados con la herramienta MTA-STS.
Leer los informes en la práctica
Los informes llegan como adjuntos comprimidos, así que un buzón normal se llena de archivos que nadie abre. Usa una dirección dedicada o deja que un servicio los lea. ProbeKit da a cada dominio alojado su propia dirección de informes, suma los totales diarios por día, servidor de correo receptor y tipo de fallo, y abre una alerta cuando los fallos se disparan. Si ya existe un registro TLS-RPT, ProbeKit lo muestra con su dirección agregada y conserva la tuya. Los grandes proveedores informan una vez al día, así que las primeras cifras aparecen en uno o dos días.
Preguntas frecuentes
- ¿Necesito TLS-RPT si no uso MTA-STS?
- Sigue siendo útil: muestra si los remitentes pueden cifrar el correo hacia tus servidores y es la forma más segura de prepararse para MTA-STS.
- ¿Quién envía los informes TLS-RPT?
- Sobre todo los grandes proveedores de correo. Los remitentes pequeños normalmente no, así que una semana tranquila de un proveedor no significa que todo esté bien.
- ¿Los informes contienen mi correo?
- No. Contienen recuentos y detalles técnicos de las conexiones, nunca el contenido de los mensajes.
- ¿Dónde va el registro?
- Publícalo como registro TXT en el nombre _smtp._tls bajo tu dominio de correo, por ejemplo _smtp._tls.example.com.
Pruébalo con tu propia configuración:
Verificar tu registro TLS-RPT