MTA-STS ha due parti: un record TXT su _mta-sts.example.com con un ID e un file di policy su https://mta-sts.example.com/.well-known/mta-sts.txt. Il file elenca i nomi MX ammessi, la modalità e la durata della policy.
In modalità testing i problemi vengono solo segnalati (con TLS-RPT); in enforce i server mittenti rifiutano la consegna se manca TLS o se il certificato non corrisponde al nome MX. Così si bloccano STARTTLS stripping e reindirizzamenti verso server falsi.
Errori tipici: il certificato dell'MX non copre l'hostname, il file di policy non è raggiungibile via HTTPS, oppure dopo un cambio di MX non hai aggiornato l'ID nel record TXT.
Esempio
curl -s https://mta-sts.example.com/.well-known/mta-sts.txt