Informes TLS (TLS-RPT)

Los informes TLS (TLS-RPT, RFC 8460) te dicen si otros servidores de correo han podido entregar email a tu dominio por una conexión cifrada. Cada día, proveedores como Google y Microsoft cuentan las sesiones TLS que han abierto con tus servidores de correo e informan de cuántas han salido bien y por qué han fallado las demás.

Los informes DMARC muestran quién envía email como tu dominio. Los informes TLS muestran qué pasa cuando otros envían email a tu dominio.

RUA, RUF y TLS-RPT

	RUA (agregado)	RUF (forense)	TLS-RPT
Estándar	RFC 9990	RFC 6591	RFC 8460
Formato	Adjunto XML	Email AFRF	Adjunto JSON
Dirección	Email enviado como tu dominio	Email enviado como tu dominio	Email entregado a tu dominio
Frecuencia	Diaria	Por cada mensaje que falla	Diaria
Registro DNS	`_dmarc`	`_dmarc`	`_smtp._tls`

Los tres tipos de informe llegan al mismo buzón. DMARC Examiner clasifica y procesa cada tipo por separado.

Publica el registro TLS-RPT

Los emisores solo envían informes TLS si tu dominio publica un registro TXT _smtp._tls. DMARC Examiner muestra el registro exacto en la ficha del dominio, en la pestaña DNS, bajo Registro TLS-RPT:

Nombre	Tipo	Valor
`_smtp._tls.example.com`	TXT	`v=TLSRPTv1; rua=mailto:<tu-dirección-de-informes>`

La dirección es la misma que usa la etiqueta rua de tu registro DMARC. Copia el host y el valor con los botones de copiar y crea el registro en tu proveedor de DNS.

La tarjeta también muestra el estado del registro que está publicado ahora:

Publicado con tu dirección — El registro existe y su rua contiene tu dirección de informes. Si el registro tiene varias direcciones, basta con que una sea la tuya.
Publicado con otra dirección — El registro existe, pero los informes van a otras direcciones. La tarjeta muestra el rua actual. Añade tu dirección de informes.
No publicado — El dominio no tiene ningún registro v=TLSRPTv1.

El registro está disponible en todos los planes. DMARC Examiner guarda los informes TLS de todos los planes, también en Free.

Publícalo con el chart de Helm mta-sts

Si usas Kubernetes, el chart de Helm mta-sts sirve tu política MTA-STS y publica los registros _mta-sts y _smtp._tls con external-dns. Pon tu dirección de informes en tlsRpt.rua:

domains:
  - name: example.com

policy:
  mode: testing
  mx:
    - mx1.example.com

tlsRpt:
  rua:
    - mailto:<tu-dirección-de-informes>

externalDns:
  enabled: true

Sin external-dns, helm install muestra los registros que hay que crear.

Tarjeta MTA-STS

El Resumen de cada dominio tiene una tarjeta MTA-STS. Muestra:

Modo de la política — enforce (verde), testing (ámbar) o none (gris), leído de https://mta-sts.<dominio>/.well-known/mta-sts.txt.
Éxito TLS, últimos 7 días — El porcentaje de sesiones TLS correctas en los informes TLS de los últimos 7 días. En el plan Free la tarjeta muestra un aviso de mejora de plan.
Errores — No configurado (no hay registro _mta-sts), Política no accesible (no se puede descargar el archivo de la política) o Política no válida (el archivo no tiene version: STSv1 o no tiene mode).

DMARC Examiner comprueba la política cada 6 horas. Haz clic en el botón de actualizar para comprobarla ahora. Puedes comprobar cada dominio una vez por minuto. Haz clic en la tarjeta para abrir la pestaña TLS.

Disponibilidad por plan

Los informes TLS están disponibles a partir del plan Basic.

En el plan Free, DMARC Examiner sigue recibiendo y guardando los informes TLS de tus dominios. La pestaña TLS muestra cuántos informes has recibido y de cuántos emisores, con un botón para mejorar el plan. Después de mejorar, la pestaña muestra los informes recibidos antes, dentro de la retención de datos de tu plan.

Cómo leer la pestaña TLS

Abre un dominio y haz clic en la pestaña TLS.

Periodo

Elige Últimos 7 días, Últimos 30 días (por defecto) o Últimos 90 días. Si tu plan guarda menos días de datos, la pestaña muestra solo esos días y te lo indica.

Resumen y gráfica

Tasa de éxito — Las sesiones correctas divididas entre todas las sesiones del periodo. Sin sesiones, la pestaña muestra Sin sesiones en lugar de 0 % o 100 %.
Sesiones correctas y Sesiones fallidas — Los totales del periodo.
Sesiones TLS por día — Barras apiladas con las sesiones correctas en verde y las fallidas en rojo, por día UTC.

Emisores

Una fila por cada organización que ha enviado informes TLS, como Google Inc. o Microsoft Corporation, con sus informes, sesiones correctas y fallidas, tasa de éxito y último informe. Primero aparecen los emisores con más sesiones.

Fallos

Una fila por tipo de resultado y MX receptor, con las sesiones fallidas, los emisores que las han informado, las IP receptoras y la última vez que se han visto. Primero aparecen las filas con más sesiones fallidas. Si el emisor no ha informado del MX, la fila muestra No informado.

Tipos de resultado

Cada fallo muestra un nombre legible y el valor original del RFC 8460.

Valor	Significado
`starttls-not-supported`	Tu MX no ofrece STARTTLS.
`certificate-host-mismatch`	El certificado de tu MX no coincide con su nombre de host.
`certificate-expired`	El certificado de tu MX ha caducado.
`certificate-not-trusted`	El certificado no está firmado por una autoridad de confianza.
`validation-failure`	Otro error de validación del certificado.
`tlsa-invalid`	El registro TLSA de DANE no es válido.
`dnssec-invalid`	Ha fallado la validación DNSSEC del registro TLSA.
`dane-required`	El emisor exige DANE y tu dominio no tiene un registro TLSA válido.
`sts-policy-fetch-error`	El emisor no ha podido descargar tu política MTA-STS.
`sts-policy-invalid`	Tu política MTA-STS tiene errores.
`sts-webpki-invalid`	El certificado de `mta-sts.<dominio>` no es válido.

Un valor que no está en esta lista aparece tal como viene en el informe.

Alerta de fallo TLS

A partir del plan Basic, DMARC Examiner crea una alerta de Fallo TLS cuando un informe TLS muestra un problema. Consulta las reglas en Sistema de alertas.