Question 1

Jaka jest różnica między trybem testing a enforce?

Accepted Answer

Tryb testing (mode=testing) sprawia, że ewentualne błędy polityki nie zablokują dostarczenia poczty, a w raportach będziesz mógł przeanalizować, co powoduje błędy. Za raporty odpowiada osobny rekord TLS-RPT (_smtp._tls) — pamiętaj o jego konfiguracji. Tryb mode=enforce oznacza, że wiadomości niespełniające reguł nie będą przyjmowane na niezgodnych ścieżkach. Pozostań w trybie testowym, aż ten checker potwierdzi poprawne dopasowanie MX oraz osiągalność polityki, a w raportach TLS-RPT nie będą pojawiać się powtarzalne błędy. Dopiero wtedy wydłuż max_age (jeśli trzeba) i przełącz się na enforce.

Question 2

Jaka powinna być wartość max_age?

Accepted Answer

Standard RFC 8461 pozwala ustawić max_age nawet na rok (31 557 600 sekund), ale w praktyce większość domen stosuje wartości od tygodnia do kilku tygodni. Zbyt krótki max_age sprawia, że serwery nadawcze bez przerwy odpytują Twój serwer o plik polityki, generując niepotrzebny ruch. Z kolei zbyt długi czas to pułapka w nagłej sytuacji: jeśli będziesz musiał pilnie wymienić skompromitowany certyfikat, inne serwery pocztowe będą pamiętać starą konfigurację przez cały ten okres, co opóźni wejście zmian w życie.

Question 3

Czy MTA-STS może zepsuć pocztę przychodzącą?

Accepted Answer

Jeśli MTA-STS zostanie źle skonfigurowane w trybie enforce (np. rozjadą się nazwy serwerów MX lub wygaśnie certyfikat), serwery nadawcze zaczną opóźniać lub odrzucać wiadomości, co w praktyce oznacza zerwanie dostarczania poczty przychodzącej. Dlatego właśnie cały proces zaczyna się od trybu testing.

Question 4

Co sprawdza ten checker?

Accepted Answer

Weryfikuje rekord DNS _mta-sts, pobiera plik polityki przez HTTPS, sprawdza, czy nazwa w certyfikacie TLS/SSL się zgadza, odczytuje ustawienia mode i max_age, a także porównuje Twoje faktyczne serwery MX z tymi zdefiniowanymi w pliku polityki. Wynik bazuje na publicznych danych DNS i HTTPS dostępnych w dokładnym momencie testu.

Question 5

Dlaczego muszą przejść i DNS, i polityka HTTPS?

Accepted Answer

Rekord DNS informuje, że MTA-STS w ogóle istnieje i wskazuje drogę do pliku, a sam plik HTTPS udostępnia właściwe reguły bezpieczeństwa. Jeśli zawiedzie którykolwiek z tych elementów, serwery nadawcze nie otrzymają wiarygodnej polityki, dlatego sam DNS nie wystarczy.

Question 6

Co oznacza fail i kiedy sprawdzić ponownie?

Accepted Answer

Status fail oznacza, że nie powiódł się co najmniej jeden kluczowy krok — np. brakuje rekordu TXT, plik polityki jest niedostępny, wystąpił problem z certyfikatem TLS/SSL lub serwery MX nie pasują do reguł. Po usunięciu błędów poczekaj na propagację zmian w DNS i HTTPS, a następnie uruchom test ponownie.

Question 7

Czy samo MTA-STS naprawia deliverability albo zatrzymuje spoofing?

Accepted Answer

Nie. MTA-STS odpowiada wyłącznie za politykę bezpiecznego, szyfrowanego połączenia z serwerami MX. Przed podszywaniem się pod domenę (spoofingiem) chronią wpisy SPF, DKIM oraz DMARC. MTA-STS należy stosować razem z nimi, ponieważ samo w sobie nie gwarantuje trafienia wiadomości do skrzynki odbiorczej.

Darmowy MTA-STS Checker i walidator polityki