邮件安全技术：TLS-RPT | MailABC邮件知识百科

TLS-RPT（TLS Reporting）是基于 RFC 8460 标准的安全机制，核心作用是让邮件服务器将 TLS 连接失败、证书错误等问题以结构化报告的形式发送给域名所有者，帮助监控和修复 TLS 配置问题。以下是完整的设置方法和报告示例。

TLS-RPT通常搭配MTA-STS使用，关于MTA-STS可以参考文末推荐文章。

如何设置 TLS-RPT

设置流程分为 3 步：准备接收端点 → 配置 DNS TXT 记录 → 验证配置，具体如下：

准备报告接收端点

首先需要一个 HTTPS 服务端点（该站点需要提供HTTPS访问，并且需要可以通过POST方式提交数据，具体可以参考RFC 8460的要求）或者邮箱，用于接收报告发送方发送的 JSON 格式报告。

配置 DNS TXT 记录

在域名的 DNS 管理平台中，添加一条特定格式的 TXT 记录，用于告知报告发送方 “报告接收地址” 和 “报告策略”。

以Gmail为例，针对_smtp._tls.gmail.com 设置一条TXT记录，记录值如下：

v=TLSRPTv1;rua=mailto:sts-reports@google.com

以Outlook邮箱为例，针对_smtp._tls.outlook.com 设置一条TXT记录，记录值如下：

v=TLSRPTv1;rua=https://tlsrpt.azurewebsites.net/report

通过上述两个示例，可以看出rua支持mailto:到一个特定邮箱，也支持指向一个https站点。

验证 TLS-RPT 配置是否生效

可通过nslookup或者dig命令查看TXT记录的内容，示例如下：

[root@localhost ~]# dig +short _smtp._tls.outlook.com TXT
"v=TLSRPTv1;rua=https://tlsrpt.azurewebsites.net/report"

TLS_RPT报告示例

当报告发送方（如 Gmail 服务器）检测到 TLS 连接问题时，会向 rua 端点发送 POST 请求或邮件，请求体为 JSON 格式的报告。

   "organization-name":"Google Inc.",
   "date-range":{
      "start-datetime":"2025-08-20T00:00:00Z",
      "end-datetime":"2025-08-20T23:59:59Z"
   },
   "contact-info":"smtp-tls-reporting@google.com",
   "report-id":"2025-08-20T00:00:00Z_mailabc.cn",
   "policies":[
      {
         "policy":{
            "policy-type":"sts",
            "policy-string":[
               "version: STSv1",
               "mode: testing",
               "mx: mailabc.cn",
               "max_age: 86400"
            ],
            "policy-domain":"mailabc.cn"
         },
         "summary":{
            "total-successful-session-count":0,
            "total-failure-session-count":3
         },
         "failure-details":[
            {
               "result-type":"validation-failure",
               "sending-mta-ip":"xxx.xxx.xxx.xxx",
               "receiving-ip":"xxx.xxx.xxx.xxx",
               "receiving-mx-hostname":"mx.mailabc.cn",
               "failed-session-count":2
            },
            {
               "result-type":"validation-failure",
               "sending-mta-ip":"xxx.xxx.xxx.xxx",
               "receiving-ip":"xxx.xxx.xxx.xxx",
               "receiving-mx-hostname":"mx.mailabc.cn",
               "failed-session-count":1
            }
         ]
      }
   ]
}

参考来源：

1. https://dmarcly.com/blog/zh-CN/how-to-set-up-mta-sts-and-tls-reporting

2. RFC 8460: https://www.rfc-editor.org/rfc/rfc8460