MTA-STS alojado
MTA-STS obliga a los servidores que te envían correo a usar TLS con un certificado válido. Para usarlo necesitas un registro TXT _mta-sts y un servidor HTTPS que sirva la política en https://mta-sts.<dominio>/.well-known/mta-sts.txt.
Con el MTA-STS alojado, DMARC Examiner publica y mantiene las dos cosas. Tú solo creas dos registros CNAME. Si no conoces MTA-STS, empieza por Qué es MTA-STS.
Disponibilidad por plan
El MTA-STS alojado está disponible desde el plan Basic. En el plan Free, la pestaña Registros alojados del dominio muestra un botón para mejorar el plan.
No cuenta para el límite de dominios alojados del plan Enterprise.
Activar el alojamiento
- Abre el dominio y entra en la pestaña Registros alojados.
- En la tarjeta Política MTA-STS, haz clic en Activar.
El dominio tiene que estar verificado y tener registros MX. Puede activarlo cualquier miembro que pueda editar dominios. Un miembro con el rol de lectura ve la tarjeta, pero no puede activarla.
DMARC Examiner crea la política así:
- Si ya publicas una política MTA-STS, la importa. Se conservan su modo, sus MX y su
max_age. - Si no publicas ninguna, o no se puede leer, crea una en modo
testingcon tus registros MX actuales. La tarjeta explica por qué no se ha podido importar la política anterior.
Crear los dos registros CNAME
La tarjeta muestra los dos registros que tienes que crear en tu proveedor DNS:
| Nombre | Tipo | Valor |
|---|---|---|
mta-sts.<dominio> |
CNAME | policies.dmarcexaminer.com |
_mta-sts.<dominio> |
CNAME | <dominio>.<token>.sts.dmarcexaminer.com |
Copia los valores exactos de la tarjeta: el token es distinto en cada dominio.
DMARC Examiner comprueba los registros cada hora. Cada registro muestra Detectado o Aún no detectado. Cuando los dos apuntan a DMARC Examiner, el estado pasa a Delegado y la política empieza a funcionar. El certificado HTTPS de mta-sts.<dominio> se emite solo.
Si ya tienes un registro TXT _mta-sts
Un nombre DNS no puede tener a la vez un registro TXT y uno CNAME. Borra tu registro TXT _mta-sts antes de crear el CNAME. La tarjeta lo avisa cuando detecta un TXT propio.
Si no creas los registros
DMARC Examiner envía un recordatorio a los 3 días y otro a los 14. A los 30 días sin los dos CNAME, cancela el alojamiento y envía un email. Puedes activarlo de nuevo cuando quieras.
Estados
| Estado | Significado |
|---|---|
| Esperando la delegación | Falta al menos uno de los dos CNAME. |
| Delegado | Los dos CNAME apuntan a DMARC Examiner y la política funciona. |
| Delegación retirada | Uno de los CNAME ya no apunta a DMARC Examiner. Los remitentes no pueden leer la política hasta que lo corrijas. |
| En retirada | El alojamiento se está retirando. Consulta la sección Dejar de alojar. |
Modos y max_age
Haz clic en Cambiar modo para elegir el modo y el max_age:
- Testing — Los remitentes informan de los fallos de TLS, pero entregan el correo igualmente. Empieza siempre por aquí.
- Enforce — Los remitentes no entregan el correo si no pueden usar TLS válido hacia tus MX.
- None — Los remitentes olvidan la política. Se usa al dejar de alojar.
El max_age es el tiempo que los remitentes guardan la política, entre 1 día y 1 año. El valor por defecto es 7 días. Cada cambio publica un ID de política nuevo, así que los remitentes vuelven a descargarla.
Solo los owners y los admins pueden cambiar el modo, aplicar cambios de MX y dejar de alojar. Los demás miembros ven esos botones desactivados.
Cuándo pasar a enforce
La tarjeta muestra Lista para enforce cuando se cumplen las tres condiciones:
- La política lleva al menos 14 días en modo
testing. - Al menos dos remitentes han enviado informes TLS en esos 14 días.
- Esos informes no muestran fallos.
Si falta alguna, la tarjeta dice cuál. El alojamiento no crea el registro TLS-RPT: publícalo tú desde la pestaña Registros DNS, como explica Informes TLS. Sin él no llegan informes y la sugerencia no aparece nunca.
Cambios en tus registros MX
DMARC Examiner compara cada hora tus registros MX con la política:
- En modo testing, aplica los cambios solo y lo anota en el historial.
- En modo enforce, no los aplica solo, porque un MX que falte en la política puede hacer que se rechace correo. La tarjeta muestra los MX nuevos y DMARC Examiner crea una alerta. Revisa la lista y haz clic en Aplicar cambios de MX.
Dejar de alojar
Haz clic en Dejar de alojar. DMARC Examiner publica el modo none durante un max_age para que los remitentes olviden la política. Después borra el registro TXT y te envía un email. Entonces puedes borrar los dos registros CNAME.
Durante la retirada puedes hacer clic en Activar de nuevo. Se mantienen los mismos CNAME.
Bajada de plan
Si tu organización pasa a un plan sin MTA-STS alojado, la política se congela durante 14 días. Sigue funcionando, pero no puedes cambiarla. Los owners reciben un email con los dominios afectados y la fecha.
Si vuelves a un plan con MTA-STS alojado en esos 14 días, la política se descongela. Si no, empieza la retirada con el modo none.
Historial
La tarjeta muestra los últimos cambios de la política: activación, importación, cambios de modo y de max_age, cambios de MX, congelación y retirada. Cada cambio indica quién lo hizo, o Automático si lo hizo DMARC Examiner.
Organizaciones MSP
Una cuenta MSP puede activar, cambiar de modo, aplicar cambios de MX y dejar de alojar el MTA-STS de varios dominios de sus clientes a la vez. Al activar, puede descargar un CSV con los dos CNAME de cada dominio. Consulta Operaciones masivas.