Verifica del record TLS-RPT (rendicontazione TLS per SMTP)

Legge il record TXT _smtp._tls di un dominio e verifica che il recapito a cui inviare le relazioni sugli insuccessi delle connessioni TLS sia configurato correttamente secondo la RFC 8460. Utile nel monitoraggio dopo l'adozione di MTA-STS o DANE.

Consigli per l'uso

  • TLS-RPT non riguarda chi riceve, ma dichiara il recapito a cui i server mittenti devono inviare le relazioni statistiche sugli insuccessi delle connessioni TLS.
  • Come recapito si possono indicare sia un indirizzo di posta, con il prefisso mailto:, sia un punto di raccolta web, con il prefisso https:, oppure più recapiti separati da virgola.
  • Le relazioni arrivano in formato JSON, eventualmente compresso, quindi conviene predisporre uno strumento di analisi o una casella dedicata.
  • Subito dopo l'adozione di MTA-STS o DANE si raccomanda di verificare con le relazioni TLS-RPT che non ci siano errori di configurazione involontari.
  • I principali fornitori di posta elettronica inviano le relazioni TLS-RPT, quindi i domini che scrivono spesso ai loro utenti traggono maggiore vantaggio dall'adozione.

Domande frequenti

MTA-STS è il meccanismo di difesa che impone la connessione TLS, TLS-RPT quello di osservazione che, tramite le relazioni, verifica se quelle connessioni stiano fallendo. Si configurano in modo indipendente ed è possibile adottarne uno soltanto.

La mancata adozione è una condizione comune a moltissimi domini e non comporta di per sé un pericolo immediato. Se però avete adottato MTA-STS o DANE, conviene configurare anche TLS-RPT per individuare eventuali errori di configurazione.

All'indirizzo di posta indicato con il prefisso mailto: nel record TXT oppure al punto di raccolta web indicato con https:. Si possono indicare più recapiti separati da virgola.

Trattandosi di dati strutturati in formato JSON, nella pratica si preferisce elaborarli automaticamente con strumenti di monitoraggio o con script invece di leggerli a occhio. Molti operatori si affidano a servizi di analisi dedicati.

Lo strumento verifica soltanto la sintassi del record TXT e la presenza dei campi obbligatori. Poiché non accerta l'effettivo arrivo delle relazioni, dopo l'adozione conviene attendere qualche giorno e controllare che i messaggi con le relazioni arrivino davvero.
Tool-kun

A proposito — la lacuna dei «guasti silenziosi» colmata da TLS-RPT

TLS-RPT, definito nel 2018 dalla RFC 8460, è stato elaborato quasi in contemporanea con MTA-STS. Le due specifiche sono state discusse nello stesso gruppo di lavoro, poggiano entrambe sui record TXT del DNS e sono state promosse insieme dai principali fornitori di posta, ma svolgono ruoli del tutto diversi: MTA-STS è un meccanismo di difesa che impone l'uso di TLS, TLS-RPT è un meccanismo di osservazione che rende visibile che cosa sia realmente accaduto dopo averlo imposto.

Prima di TLS-RPT, quando la negoziazione TLS falliva in una comunicazione SMTP, nella maggior parte dei casi il server mittente si limitava a registrarlo nei propri log e chi amministrava il dominio ricevente non ne sapeva nulla. Un certificato scaduto o un errore nella configurazione della politica MTA-STS restavano invisibili finché i messaggi non smettevano di arrivare: quei «guasti silenziosi» erano un problema operativo rilevante.

Adottando TLS-RPT, al recapito indicato arrivano relazioni aggregate quotidiane in formato JSON, spesso compresse, che riportano come dati strutturati il numero di successi e insuccessi e, per questi ultimi, la causa: certificato non corrispondente, negoziazione TLS fallita e simili. Sono pensate meno per la lettura umana che per l'inserimento in un sistema di monitoraggio capace di rilevare le anomalie.

Nella pratica si configura TLS-RPT insieme a MTA-STS o a DANE. Adottando il solo meccanismo di difesa non si avrebbe modo di accorgersi che un errore di configurazione sta bloccando anche i messaggi legittimi: monitorando le relazioni TLS-RPT si può invece procedere in sicurezza con l'attivazione dell'obbligo di TLS.

Leggi le curiosità collegate

Vedi tutte le curiosità

Chi consulta questo strumento guarda anche

Convalida degli indirizzi di posta elettronica

Uno strumento gratuito che verifica all'istante il formato di un indirizzo di posta elettronica, con un'approssimazione pratica della norma RFC 5322, e controlla anche se il dominio possa effettivamente ricevere messaggi...

Verifica dei record SPF, DKIM e DMARC

Basta inserire un dominio per cercare in tempo reale i suoi record SPF, DMARC e DKIM e valutare lo stato delle difese contro la contraffazione dei messaggi di posta.

Guida alla configurazione dei record DNS

Un riferimento che raccoglie tipi, scopi, esempi di sintassi e avvertenze dei record del sistema dei nomi necessari al recapito della posta e alla gestione di un sito: A, MX, TXT, SPF, DKIM, DMARC e gli altri.

Verifica della propagazione DNS

Interroga contemporaneamente più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record di un dominio e confronta i risultati, mostrando se una modifica ai server dei nomi si è già propagata nel mondo.

Verifica della validazione DNSSEC

Interroga più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record DNSKEY di un dominio e verifica che la catena di firme DNSSEC sia validata correttamente.

Verifica della politica MTA-STS

Legge il record TXT _mta-sts di un dominio e il relativo file di politica e verifica che l'imposizione della cifratura TLS nel trasferimento della posta sia configurata correttamente.