The Spark Team
Inteligente. Focado. E-mail.
E-mail rápido e multiplataforma, projetado para filtrar o ruído.
Definição
💡MTA-STS: uma configuração que garante que seu e-mail sempre trafegue de forma segura, por uma conexão trancada e verificada, em vez de ocasionalmente escapar por uma porta destrancada que a maioria das pessoas nunca pensa em checar.
Por que o MTA-STS existe
O e-mail não precisa necessariamente trafegar criptografado. Normalmente ele trafega. Mas "normalmente" deixa uma porta aberta.
Os servidores de e-mail concordam em criptografar uma conexão usando algo chamado STARTTLS, basicamente um pedido educado para trancar a porta antes de começarem a conversar. Na maioria das vezes, ambos os lados concordam. Mas esse acordo não é obrigatório. Alguém posicionado na rede intermediária (raro, mas não impossível) pode convencer os dois servidores a não trancar, e o e-mail acaba escapando sem criptografia.
O MTA-STS fecha essa brecha. Basicamente, seu domínio coloca uma placa que diz: só entregue para nós pela porta trancada, sem exceções. Não consegue verificar a tranca? Então a mensagem simplesmente não passa.
E aqui está a parte que realmente importa para você: você nunca vai clicar nisso no Gmail ou no Outlook. É uma configuração que vive inteiramente nos bastidores, geralmente gerenciada por quem administra o domínio de e-mail de uma empresa (TI, um provedor de hospedagem, um administrador de e-mail). Você não está deixando de apertar nenhum botão nas suas configurações.
O que ele realmente faz
Você não precisa entender de DNS para captar a ideia aqui. Duas coisas acontecem nos bastidores, e nenhuma delas envolve você.
Primeiro, um domínio publica uma nota (tecnicamente um pequeno arquivo) que diz "sempre exija uma conexão trancada". Segundo, todo servidor que tenta entregar e-mail lá precisa checar essa nota primeiro. Não consegue confirmar se a tranca é real? A mensagem é retida ou sinalizada.
Essa rigidez tem um nome: modo. O modo de teste apenas observa e relata o que teria falhado, sem bloquear nada ainda. O modo de aplicação é para valer. Se você falhar na verificação ali, o e-mail não chega. A maioria dos domínios começa no modo de teste, e por um bom motivo. Se pular direto para o modo de aplicação, você corre o risco de bloquear e-mails reais de um servidor que ainda não se atualizou.
Quem realmente precisa se preocupar com isso
Sinceramente? Quase ninguém, no dia a dia.
Se você acessa e-mail pelo Gmail, Outlook ou Spark em um endereço normal, alguém já cuida disso por você. Você não precisa fazer nada.
Isso só se torna problema seu se você administra seu próprio domínio de e-mail; digamos, você é dono de uma pequena empresa ou gerencia a TI da sua empresa. Nesse caso, o MTA-STS é uma daquelas configurações silenciosas e sem glamour que merecem uma conversa de cinco minutos com seu provedor de hospedagem. O Google Workspace e o Microsoft 365 oferecem ferramentas integradas para verificar e ativá-lo caso sua empresa funcione em qualquer uma dessas plataformas.
Configurando, em termos simples
Se você realmente gerencia um domínio, aqui está a ideia geral, sem jargões:
- Seu domínio precisa de um pequeno arquivo de configurações, publicado publicamente, listando seus servidores de e-mail e o nível de rigidez
- Você adiciona um pequeno indicador para esse arquivo nas configurações de DNS do seu domínio
- Comece no modo de teste, para poder ver o que quebraria antes que algo seja bloqueado
- Quando tudo parecer limpo, mude para o modo de aplicação para a proteção de verdade
- Atualize-o sempre que trocar de provedor de e-mail, ou você corre o risco de bloquear seu próprio e-mail
Passar essa tarefa para quem já gerencia seu domínio (um provedor de hospedagem, um profissional de TI, um desenvolvedor) costuma ser a jogada inteligente. Não é um projeto de fim de semana, e errar pode fazer com que e-mails reais sejam rejeitados sem que você saiba o motivo.
Por que vale a pena ter
Ele fecha uma brecha real. Raro não significa impossível, e para qualquer coisa que envolva dados de clientes ou detalhes financeiros, essa brecha vale a pena fechar.
Mas não é sua única defesa. O MTA-STS protege como uma mensagem trafega, não quem realmente a enviou. Você ainda precisa de DKIM e DMARC para confirmar que o remetente é quem ele afirma ser.
Comece com cautela, sempre. O modo de teste existe por um motivo, e pulá-lo é a forma mais comum de uma configuração bem-intencionada bloquear acidentalmente o e-mail de clientes reais.
Pergunte, não adivinhe. Se você administra um domínio empresarial e não tem certeza se isso está configurado, essa é uma pergunta rápida para quem hospeda seu e-mail, não um projeto de pesquisa para você.
Deixe o provedor cuidar disso quando puder. Se o Gmail e o Outlook já cobrem isso do lado deles, realmente não há nada aqui para você mexer.