Configurer MTA-STS pour votre domaine

MTA-STS (Mail Transfer Agent Strict Transport Security) impose le chiffrement TLS pour les e-mails livrés à votre domaine. Sans lui, les serveurs qui vous livrent des e-mails ne sont pas tenus d'utiliser TLS, ce qui rend l'interception possible. Voici comment le mettre en place.

Ce que signifie ce constat

Lorsqu'un autre serveur de messagerie livre un e-mail à votre domaine, il peut choisir d'utiliser TLS (transport chiffré) ou non. Sans MTA-STS, rien n'impose le chiffrement : un attaquant en position d'intercepter le trafic SMTP pourrait lire ou modifier les e-mails entrants.

MTA-STS publie une politique (grâce à la combinaison d'un enregistrement DNS et d'un fichier hébergé sur le web) qui demande aux serveurs d'envoi de toujours utiliser TLS et de vérifier le certificat de votre serveur de messagerie.

Pourquoi c'est important

• Empêche l'interception des e-mails entrants par des attaques de rétrogradation SMTP
• Complète DMARC/SPF/DKIM, qui protègent l'authentification des e-mails sortants, pas le transport des e-mails entrants
• Est de plus en plus attendu dans une protection complète de la messagerie
• Est vérifié par les outils de sécurité des domaines et lors des audits au titre de l'article 32 du RGPD

Configurer MTA-STS, étape par étape

MTA-STS nécessite deux éléments : un fichier de politique hébergé sur votre serveur web et un enregistrement DNS TXT.

Étape 1 : créer le fichier de politique MTA-STS

Créez un fichier avec le contenu suivant. Remplacez la valeur mx: par le ou les noms d'hôte MX que vous utilisez réellement :

version: STSv1
mode: enforce
mx: mail.protection.outlook.com
max_age: 86400

Si vous avez plusieurs enregistrements MX, ajoutez une ligne mx: par hôte :

version: STSv1
mode: enforce
mx: mail.protection.outlook.com
mx: mail2.yourdomain.com
max_age: 86400

• enforce : les serveurs de messagerie doivent utiliser TLS, sinon l'e-mail est rejeté
• testing : les violations sont signalées mais l'e-mail est livré (commencez par ce mode en cas de doute)
• none : politique désactivée

Étape 2 : héberger le fichier de politique

Le fichier doit être accessible à l'adresse :

https://mta-sts.yourdomain.com/.well-known/mta-sts.txt

Il faut pour cela un sous-domaine mta-sts.yourdomain.com pointant vers un serveur web qui sert ce fichier en HTTPS avec un certificat TLS valide.

Étape 3 : publier l'enregistrement DNS TXT

Ajoutez un enregistrement TXT sur _mta-sts.yourdomain.com :

v=STSv1; id=20260401000000

La valeur id= identifie la version de la politique : elle doit changer chaque fois que vous modifiez votre fichier de politique. Utilisez un horodatage au format YYYYMMDDHHMMSS.

Étape 4 : ajouter TLSRPT (facultatif)

Ajoutez un enregistrement TXT sur _smtp._tls.yourdomain.com pour recevoir les rapports de violation MTA-STS :

v=TLSRPTv1; rua=mailto:tlsrpt@yourdomain.com

Vérifier que cela fonctionne

Analysez votre domaine sur mydomainrisk.com : le constat MTA-STS apparaîtra comme résolu dès que votre enregistrement DNS et votre fichier de politique seront détectés. Ajouter un enregistrement de rapport _smtp._tls apporte un élément supplémentaire utile sur la sécurité de votre messagerie.