Comprobador MTA-STS
El correo entre servidores se cifra cuando ambas partes lo aceptan, y un atacante en el medio puede hacer que no estén de acuerdo. MTA-STS es la forma en que un dominio dice que su correo debe llegar cifrado o no. Verifique un dominio que usted controle y vea si la política está publicada y si se aplica.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Qué es MTA-STS, en un párrafo
Cuando un servidor de correo entrega a otro, comienza en texto sin formato y solicita cambiar a TLS. Un atacante que se encuentre en la ruta puede eliminar esa solicitud y los dos servidores continúan sin cifrar.sin que nadie se dé cuenta. MTA-STS cierra esa brecha. Su dominio publica un registro TXT corto y un archivo de política en una dirección web propia; un servidor de envío que la admite recupera la política, la recuerda y luego la entrega solo a los servidores de correo nombrados en ella y solo a través de una conexión TLS con un certificado válido.
Cinco razones para comprobar tu propio MTA-STS
01
El cifrado que un atacante puede desactivar no es cifrado
OportunistaTLS protege contra alguien que lee el correo de forma pasiva. No protege contra alguien que esté dispuesto a interferir, porque la degradación es silenciosa. MTA-STS es el control que convierte "normalmente cifrado" en "rechazado a menos que esté cifrado".
02
El disco por sí solo no hace nada
El registro TXT solo informa a los remitentes que existe una política. La política en sí reside en https://mta-sts.yourdomain/.well-known/mta-sts.txt y debe ser accesible con un certificado válido con ese nombre. Un registro sin un archivo de política que funcione es la forma más común de pensar que está protegido cuando no lo está.
03
El modo de prueba es un punto de partida, no un destino
Una política tiene un modo: none, testing o enforce. En remitentes en modo de pruebaseguir entregando cuando el cheque falla y solo informarlo. Ésa es la forma correcta de empezar y muchos dominios permanecen allí durante años. Solo enforce detiene una entrega degradada.
04
Una política que enumera los servidores de correo incorrectos rechaza su propio correo
La política nombra los hosts MX a los que se les permite recibir correo para el dominio. Cambie a un nuevo proveedor de correo sin actualizarlo y los remitentes que apliquen la política no entregarán nada a los nuevos servidores. EsteTambién existe el riesgo de un max_age prolongado: los remitentes mantienen en caché una política incorrecta durante el tiempo prometido.
05
TLS-RPT es la forma de descubrirlo
Los informes TLS son un segundo registro TXT que indica a los remitentes dónde enviar informes diarios sobre fallas de entrega y problemas de políticas. Sin ella, una política aplicada fracasa en silencio, y la primera señal de un problema es un cliente cuyo correo nunca llegó.
Conozca el día en que cambia su póliza
Una configuración MTA-STSEs un registro, una dirección web, un certificado y una lista de servidores de correo, y cada uno de ellos tiene un propietario diferente.
Los análisis programados convierten eso en una diferencia de la que le informan: el archivo de política dejó de cargarse, el certificado del nombre de la política expiró y el modo pasó de enforce a testing. Las alertas llegan a la aplicación, por correo electrónico o a través de Slack, Teams, Jira o un webhook.
Paso 01 · Nombra el dominio
Un dominio que usted controla, agregado a su cuenta AYAsec. La propiedad se verifica antes de enviar cualquier cosa: AYAsec no programará análisis en infraestructura sobre la cual no haya demostrado control y [demostrará que requiere un registro DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). La verificación rápida anterior omite esto: sin cuenta, sin verificación, solo limitación de velocidad de IP y una regla de que el objetivo debe ser una dirección pública.
Paso 02 · Dejala ejecución del cheque
El registro y el archivo de política son públicos, por lo que se lee en lugar de sondear. Los recupera como lo haría un servidor de correo emisor.
Paso 03 · Leer el resultado
Los hallazgos llegan ordenados por gravedad y con calificaciones de A+ a F. Una política faltante y una política en modo de prueba no se encuentran en la misma lista indiferenciada.
De qué es parte esto
MTA-STS es uno de varios registros relacionados con el correo que AYAsec verifica como parte de su escaneo DNS.junto con SPF, DKIM, DMARC, TLS-RPT y DNSSEC. Es un escaneo y esta página es aproximadamente una parte de lo que analiza.
DNS lleva el 20% de la calificación compuesta. Los otros son HTTP al 30 %, TLS y puertos al 20 % cada uno, y credibilidad del dominio al 10 %. Todos ellos juntos son lo que superficie de ataquegestión significa en la práctica.
Preguntas antes de comprobar
¿Qué puedo comprobar?
Infraestructura de su propiedad o contratada para realizar pruebas. La verificación rápida anterior no verifica eso por usted: solo limita la velocidad por IP y se niega a apuntar a nada que no sea una dirección pública. En su lugar, agregue el dominio a una cuenta de AYAsec y el control se verificará antes de que se ejecute cualquier cosa programada: un límite tanto legal como práctico, ya que un escaneo no verificado tampoco le sirve como evidencia.
MTA-STS es público. ¿Por qué es necesario¿verificación?
El registro y la política son públicos y el cheque es de sólo lectura, por lo que el cheque en sí es inofensivo. La verificación se trata de lo que sucede a continuación: un dominio en su cuenta AYAsec es monitoreado, calificado y mantenido en su historial, y nada de eso debería ser posible para un dominio que no es suyo.
¿MTA-STS protege el correo que envío?
No. Protege el correo enviado a su dominio. Que un mensaje que envíe esté protegido depende de la políticadel dominio receptor y en su propio servidor de correo que lo respeta.
¿Cuál es la diferencia entre MTA-STS y DANE?
Ambos apuntan al mismo problema de degradación. El DANE depende de DNSSEC y publica el certificado en DNS; MTA-STS se basa en una política sobre HTTPS y un certificado ordinario. MTA-STS es más sencillo de implementar y cuenta con el respaldo de los grandes proveedores.
¿Cómo paso de forma segura de la prueba a la aplicación?
Publicar la política en modo testingcon TLS-RPT activado, lea los informes durante algunas semanas, corrija lo que muestran (generalmente un certificado o un nombre MX que no coincide) y solo entonces cambie el modo y genere max_age.
¿Conservas los resultados?
No es la comprobación rápida anterior: permanece en la memoria durante unos quince minutos para que puedas leerla una vez y luego desaparece. Se trata de una elección deliberada de privacidad, no de una limitación: nadie más que tú ve ese análisis y puedes descargar el resultado completo antes de que caduque. En su lugar, agregue el dominio a una cuenta de AYAsec y cada escaneo se conserva: una serie que le indica qué edición lo rompió. La retención depende de su plan.
Mantenga la historia, no solo laresultado
Ejecute la verificación completa de DNS en sus propios dominios, según un cronograma, con cada cambio marcado para quien necesite verlo.
Las otras damas
Escáner TLS: ¿Están en buen estado el certificado en el nombre de la política y en el servidor de correo?
Comprobador DMARC: ¿qué sucede con el correo que no pasa la verificación?
DNScomprobador de seguridad
DNSSEC, servidores de nombres y los propios registros
Datos estructurados para incrustar
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec MTA-STS Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/mta-sts-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}No añada el marcado FAQPage o HowTo - Google retiró ambos tipos de resultados.