← RFC Reference

RFC 8460: Báo Cáo TLS SMTP (TLSRPT)

Tại Sao Tồn Tại Điều Này

Hai tiêu chuẩn thực thi TLS cho email máy chủ-máy chủ: MTA-STS (RFC 8461) và DANE (RFC 7672). Cả hai đều cho máy chủ gửi biết "bạn phải thiết lập kết nối TLS hợp lệ trước khi gửi thư đến miền này." Nhưng khi thương lượng TLS thất bại, máy chủ gửi có thể quay lại văn bản rõ (xấu) hoặc từ chối gửi (thư bị mất). Dù bằng cách nào, miền nhận không biết có vấn đề gì.

TLSRPT đóng lỗ hổng khả năng hiển thị này. Chủ sở hữu miền công bố bản ghi DNS yêu cầu báo cáo TLS, và các MTA gửi tổng hợp kết quả kết nối TLS của chúng thành báo cáo JSON hàng ngày được gửi qua email hoặc HTTPS.

Nếu không có TLSRPT, bạn có thể triển khai MTA-STS với lỗi chứng chỉ và không nhận ra rằng một phần đáng kể thư đến bị từ chối hoặc được gửi không an toàn.

Cách Hoạt Động

Bước 1: Công Bố Bản Ghi DNS TLSRPT

Thêm bản ghi TXT tại _smtp._tls.yourdomain.com chỉ định nơi báo cáo nên được gửi:

Bước 2: Máy Chủ Gửi Thu Thập Dữ Liệu

Khi một MTA gửi gửi thư đến miền của bạn, nó ghi lại kết quả thương lượng TLS: phiên thành công với chứng chỉ hợp lệ, bắt tay thất bại, chứng chỉ không khớp, lỗi chính sách MTA-STS, lỗi xác thực DANE, v.v.

Bước 3: Gửi Báo Cáo Hàng Ngày

Mỗi ngày một lần, MTA gửi tổng hợp kết quả và gửi báo cáo JSON. Khi được gửi qua email, nó đến dưới dạng tin nhắn multipart/report với report-type=tlsrpt:

Content-Type: multipart/report; report-type=tlsrpt;
    boundary="TLSRPT-001"

--TLSRPT-001
Content-Type: text/plain

SMTP TLS report for example.com
Report period: 2026-03-10T00:00:00Z to 2026-03-11T00:00:00Z

--TLSRPT-001
Content-Type: application/tlsrpt+json

{
  "organization-name": "Sender Corp",
  "date-range": {
    "start-datetime": "2026-03-10T00:00:00Z",
    "end-datetime": "2026-03-11T00:00:00Z"
  },
  "contact-info": "postmaster@sendercorp.com",
  "report-id": "2026-03-10-example.com",
  "policies": [{
    "policy": {
      "policy-type": "sts",
      "policy-string": ["version: STSv1", "mode: enforce",
        "mx: mail.example.com", "max_age: 604800"],
      "policy-domain": "example.com"
    },
    "summary": {
      "total-successful-session-count": 9450,
      "total-failure-session-count": 12
    },
    "failure-details": [{
      "result-type": "certificate-expired",
      "sending-mta-ip": "198.51.100.1",
      "receiving-mx-hostname": "mail.example.com",
      "failed-session-count": 12
    }]
  }]
}

--TLSRPT-001--

Chi Tiết Kỹ Thuật Chính

Định Dạng Bản Ghi DNS

Loại Kết Quả Lỗi

Loại Chính Sách

Lỗi Phổ Biến

• Công bố MTA-STS mà không có TLSRPT. MTA-STS ở chế độ enforce sẽ khiến máy chủ gửi từ chối thư khi TLS thất bại. Nếu không có TLSRPT, bạn không thấy những lỗi đó. Luôn triển khai cả hai cùng nhau.
• Bỏ qua báo cáo. Nhận báo cáo TLSRPT chỉ hữu ích nếu bạn thực sự phân tích cú pháp và giám sát chúng. Thiết lập xử lý tự động hoặc sử dụng dịch vụ tổng hợp và cảnh báo về lỗi.
• Chỉ sử dụng giao trình HTTPS. Mặc dù HTTPS POST sạch hơn cho xử lý tự động, một số MTA gửi chỉ hỗ trợ giao trình email. Cung cấp cả URI mailto: và https: nếu có thể.
• Vị trí bản ghi DNS sai. Bản ghi phải nằm tại _smtp._tls.yourdomain.com, không phải _tls.yourdomain.com hoặc _tlsrpt.yourdomain.com. Tiền tố cụ thể là _smtp._tls.
• Để chứng chỉ hết hạn. Lỗi phổ biến nhất được báo cáo qua TLSRPT là certificate-expired. Tự động hóa gia hạn chứng chỉ (ví dụ: với Let's Encrypt) và giám sát ngày hết hạn.
• Không kiểm tra tên máy chủ MX so với chứng chỉ. Chứng chỉ TLS của bạn phải bao gồm tên máy chủ được liệt kê trong chính sách MTA-STS và bản ghi MX của bạn. Nếu MX của bạn là mail.example.com nhưng chứng chỉ của bạn là example.com, người gửi sẽ báo cáo certificate-host-mismatch.

Tác Động Khả Năng Gửi

• Khả năng hiển thị vào lỗi TLS. Nếu không có TLSRPT, lỗi thương lượng TLS là vô hình. Bạn không biết rằng thư từ một người gửi lớn bị từ chối vì chứng chỉ của bạn hết hạn tuần trước.
• Điều kiện tiên quyết cho thực thi MTA-STS an toàn. Đường dẫn triển khai được khuyến nghị là: công bố MTA-STS ở chế độ testing, bật TLSRPT, giám sát báo cáo để tìm lỗi, sửa các vấn đề, rồi chuyển sang enforce. Bỏ qua bước giám sát có nguy hiểm mất thư.
• Phát hiện tấn công man-in-the-middle. Một spiking đột ngột certificate-not-trusted hoặc starttls-not-supported từ một mạng cụ thể có thể chỉ ra một cuộc tấn công tước STARTTLS. TLSRPT làm cho điều này trở nên rõ ràng.
• Bằng chứng tuân thủ. Đối với các miền xử lý giao tiếp nhạy cảm, báo cáo TLSRPT cung cấp bằng chứng rằng TLS đang được thương lượng thành công cho phần lớn kết nối vào.

Related RFCs