Vérificateur MTA-STS

Le courrier entre les serveurs est crypté lorsque les deux parties l'acceptent, et un attaquant intermédiaire peut les empêcher d'être d'accord. MTA-STS est la manière dont un domaine indique que son courrier doit arriver chiffré ou pas du tout. Vérifiez un domaine que vous contrôlez et voyez si la politique est publiée et si elle est appliquée.

Qu'est-ce que MTA-STS, en un paragraphe

Lorsqu'un serveur de messagerie envoie un message à un autre, il démarre en texte brut et demande de passer à TLS. Un attaquant placé sur le chemin peut supprimer cette requête, et les deux serveurs continuent de fonctionner en clair.sans que personne ne s'en aperçoive. MTA-STS comble cet écart. Votre domaine publie un court enregistrement TXT et un fichier de stratégie sur sa propre adresse Web ; un serveur d'envoi qui la prend en charge récupère la stratégie, s'en souvient, puis la transmet uniquement aux serveurs de messagerie qui y sont nommés et uniquement via une connexion TLS avec un certificat valide.

Cinq raisons de vérifier votre propre MTA-STS

Le cryptage qu'un attaquant peut désactiver n'est pas un cryptage

OpportunisteTLS protège contre la lecture passive du courrier par quelqu'un. Cela ne protège pas contre quelqu’un qui est prêt à intervenir, car le déclassement est silencieux. MTA-STS est le contrôle qui transforme « généralement crypté » en « refusé sauf crypté ».

Le disque seul ne fait rien

L'enregistrement TXT indique uniquement aux expéditeurs qu'une politique existe. La stratégie elle-même se trouve à https://mta-sts.yourdomain/.well-known/mta-sts.txt et elle doit être accessible, avec un certificat valide portant ce nom. Un enregistrement sans fichier de stratégie fonctionnel est la manière la plus courante de penser que vous êtes protégé alors que ce n’est pas le cas.

Le mode test est un point de départ, pas une destination

Une stratégie a un mode : none, testing ou enforce. En mode test, expéditeurslivrez toujours lorsque le contrôle échoue et signalez-le uniquement. C’est la bonne façon de commencer, et de nombreux domaines y restent pendant des années. Seul enforce arrête une diffusion dégradée.

Une politique qui répertorie les mauvais serveurs de messagerie refuse votre propre courrier

La stratégie nomme les hôtes MX autorisés à recevoir du courrier pour le domaine. Passez à un nouveau fournisseur de messagerie sans le mettre à jour et les expéditeurs qui appliquent la politique ne livreront pas du tout aux nouveaux serveurs. CeIl y a aussi le risque d'un long max_age : une mauvaise politique reste mise en cache par les expéditeurs aussi longtemps que vous l'avez promis.

TLS-RPT est la façon dont vous le découvrez

Les rapports TLS sont un deuxième enregistrement TXT qui indique aux expéditeurs où envoyer des rapports quotidiens sur les échecs de livraison et les problèmes de politique. Sans cela, une politique appliquée échoue en silence, et le premier signe d'un problème est un client dont le courrier n'est jamais arrivé.

## Connaissez le jour où votre politique change

Une configuration MTA-STSest un enregistrement, une adresse Web, un certificat et une liste de serveurs de messagerie, et chacun d'eux a un propriétaire différent.

Les analyses planifiées transforment cela en une différence dont vous êtes informé : le fichier de stratégie a cessé de se charger, le certificat sur le nom de la stratégie a expiré, le mode est passé de enforce à testing. Les alertes arrivent dans l'application, par e-mail ou via Slack, Teams, Jira ou un webhook.

Étape 01 · Nommez le domaine

Un domaine que vous contrôlez, ajouté à votre compte AYAsec. La propriété est vérifiée avant l'envoi de quoi que ce soit : AYAsec ne planifiera pas d'analyses sur l'infrastructure dont vous n'avez pas démontré le contrôle et pour prouver qu'il faut un enregistrement DNS. La vérification rapide ci-dessus ignore ceci : pas de compte, pas de vérification, juste une limitation du débit IP et une règle selon laquelle la cible doit être une adresse publique.

Étape 02 · Laissezle cycle de contrôle

L'enregistrement et le fichier de stratégie sont publics, donc cela lit plutôt que sonde. Il les récupère comme le ferait un serveur de messagerie expéditeur.

Étape 03 · Lire le résultat

Les résultats arrivent classés par gravité et notés de A+ à F. Une stratégie manquante et une stratégie en mode test ne figurent pas dans la même liste indifférenciée.

De quoi cela fait partie

MTA-STS est l'un des nombreux enregistrements liés au courrier qu'AYAsec vérifie dans le cadre de son analyse DNS,aux côtés de SPF, DKIM, DMARC, TLS-RPT et DNSSEC. Il s'agit d'une analyse, et cette page ne représente qu'une partie de ce qu'elle examine.

DNS porte 20 % de la note composite. Les autres sont HTTP à 30 %, TLS et ports à 20 % chacun et la crédibilité du domaine à 10 %. Tous ensemble, c'est ce qui surface d'attaquegestion signifie en pratique.

Questions avant de vérifier

Que puis-je vérifier ?

Infrastructure que vous possédez ou que vous êtes chargé de tester. La vérification rapide ci-dessus ne vérifie pas cela pour vous - elle limite uniquement le débit par IP et refuse de cibler autre chose qu'une adresse publique. Ajoutez plutôt le domaine à un compte AYAsec et le contrôle est vérifié avant toute exécution planifiée : une limite légale autant que pratique, puisqu'une analyse non vérifiée ne vous est d'aucune utilité comme preuve non plus.

MTA-STS est public. Pourquoi est-ce nécessairevérification ?

L'enregistrement et la politique sont publics et la vérification est en lecture seule, la vérification elle-même est donc inoffensive. La vérification concerne ce qui se passe ensuite : un domaine de votre compte AYAsec est surveillé, noté et conservé dans votre historique, et rien de tout cela ne devrait être possible pour un domaine qui n'est pas le vôtre.

Est-ce que MTA-STS protège le courrier que j'envoie ?

Non. Il protège le courrier envoyé à votre domaine. La protection d'un message que vous envoyez dépend de la politiquedu domaine de réception et sur votre propre serveur de messagerie en l'honorant.

Quelle est la différence entre MTA-STS et DANE ?

Les deux visent le même problème de rétrogradation. DANE dépend de DNSSEC et publie le certificat en DNS ; MTA-STS s'appuie sur une politique via HTTPS et un certificat ordinaire. MTA-STS est plus simple à déployer et est pris en charge par les grands fournisseurs.

Comment puis-je passer en toute sécurité du test à l'application ?

Publier la stratégie en mode testingavec TLS-RPT activé, lisez les rapports pendant quelques semaines, corrigez ce qu'ils affichent - généralement un certificat ou un nom MX qui ne correspond pas - et ensuite seulement changez de mode et augmentez max_age.

Conservez-vous les résultats ?

Pas la vérification rapide ci-dessus - elle reste en mémoire pendant environ quinze minutes afin que vous puissiez la lire une fois, puis elle disparaît. Il s'agit d'un choix délibéré en matière de confidentialité, et non d'une limitation : personne d'autre que vous ne voit cette analyse et vous pouvez télécharger le résultat complet avant son expiration. Ajoutez plutôt le domaine à un compte AYAsec et chaque analyse est conservée - une série qui vous indique quelle modification l'a interrompu. La rétention dépend de votre plan.

Conservez l'historique, pas seulement lerésultat

Exécutez la vérification DNS complète sur vos propres domaines, selon un calendrier, avec chaque modification signalée à quiconque a besoin de la voir.

Commencer à numériser gratuitement · Comparer les forfaits

Les autres dames

Scanner TLS - le certificat sur le nom de la stratégie et sur le serveur de messagerie est-il en bon état ?
DMARC checker : qu'arrive-t-il aux e-mails dont la vérification échoue ?
DNSvérificateur de sécurité - DNSSEC, serveurs de noms et les enregistrements eux-mêmes

Données structurées à intégrer

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec MTA-STS Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/mta-sts-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

N'ajoutez pas de balisage FAQPage ou HowTo - Google a retiré les deux types de résultats.

View all free security scanners