MTA-STS besteht aus zwei Teilen: einem TXT-Eintrag unter _mta-sts.example.com mit einer ID und einer Policy-Datei unter https://mta-sts.example.com/.well-known/mta-sts.txt. Die Datei nennt die erlaubten MX-Namen, den Modus und die Gültigkeitsdauer.
Im Modus testing werden Probleme nur gemeldet (per TLS-RPT), im Modus enforce verweigern sendende Server die Zustellung, wenn TLS fehlt oder das Zertifikat nicht zum MX-Namen passt. Das verhindert STARTTLS-Stripping und Umleitung auf gefälschte Server.
Typische Fehler: Das Zertifikat des MX deckt den Hostnamen nicht ab, die Policy-Datei ist nicht per HTTPS erreichbar, oder nach einer MX-Änderung wurde die ID im TXT-Eintrag nicht erhöht.
Beispiel
curl -s https://mta-sts.example.com/.well-known/mta-sts.txt