MTA-STS, TLS-RPT e BIMI: os passos seguintes depois do DMARC

Avançado⏱ 4 min de leituraAtualizado em 13 de outubro de 2026

SPF, DKIM e DMARC provam quem enviou uma mensagem. Não dizem nada sobre se viajou cifrada, nem sobre o aspeto que tem na caixa de entrada. Três normas mais recentes preenchem essas lacunas: o MTA-STS faz com que outros servidores lhe entreguem email só por TLS verificado, o TLS-RPT avisa quando isso falha e o BIMI põe o seu logótipo junto ao email autenticado. Cada uma é um registo TXT mais uma peça adicional.

MTA-STS: entrega cifrada ou nenhuma

Os servidores de email cifram com STARTTLS quando ambos os lados o suportam, mas voltam ao texto simples se a oferta faltar — e um atacante no caminho pode retirá-la. O MTA-STS (RFC 8461) publica uma promessa: «os meus hosts MX têm sempre certificados válidos; não entregue sem TLS». São precisos um registo DNS e um pequeno ficheiro de texto num servidor web:

; announces the policy; change id whenever the policy file changes
_mta-sts.example.com.  3600 IN TXT   "v=STSv1; id=20261013T1200"
; the web host that serves the policy file over HTTPS
mta-sts.example.com.   3600 IN CNAME static-host.example.

# https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: aspmx.l.google.com
mx: *.aspmx.l.google.com
max_age: 604800

mode: testing reporta falhas mas continua a entregar; enforce recusa entregar sem TLS válido; none retira a política.
mx: uma linha por host MX, exatamente como nos registos MX. Um *. inicial corresponde a uma etiqueta, para fornecedores com muitos hosts.
max_age: durante quanto tempo os remetentes guardam a política em cache, em segundos. Uma semana (604800) durante os testes; vários meses quando estiver estável.

Obtenha um certificado válido para mta-sts.example.com e sirva o ficheiro em /.well-known/mta-sts.txt — qualquer alojamento estático serve.
Publique _mta-sts com um id novo (uma marca temporal dá jeito).
Acrescente o registo TLS-RPT da secção seguinte e funcione em testing durante duas a quatro semanas.
Quando os relatórios estiverem limpos, mude mode para enforce e atualize o id.

Atenção: Os remetentes guardam a política durante max_age. Se mudar de hosts MX com uma política enforce sem atualizar antes o ficheiro e o id, os servidores que a têm em cache vão recusar entregar aos novos hosts. Atualize a política antes dos registos MX, não depois.

TLS-RPT: relatórios de cifra falhada

O TLS-RPT (RFC 8460) pede aos servidores remetentes que lhe enviem um resumo diário das ligações TLS aos seus servidores de email: quantas correram bem e porque falharam as outras — certificado expirado, nome que não coincide, falta de STARTTLS, erro ao obter a política.

_smtp._tls.example.com. 3600 IN TXT "v=TLSRPTv1; rua=mailto:[email protected]"

A Google, a Microsoft e outros grandes fornecedores enviam estes relatórios como ficheiros JSON. Sozinho, o registo não muda nada na entrega, por isso é seguro publicá-lo primeiro. Com o MTA-STS em testing, é por ele que fica a saber se enforce estragaria alguma coisa.

BIMI: o seu logótipo na caixa de entrada

O BIMI (Brand Indicators for Message Identification) permite às caixas compatíveis mostrar o seu logótipo em vez de uma inicial junto às mensagens que passam no DMARC. O registo aponta para o logótipo e, normalmente, para um certificado que prova que o pode usar:

default._bimi.example.com. 3600 IN TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem"

O DMARC tem de estar a ser aplicado: p=quarantine ou p=reject no domínio, sem pct abaixo de 100 e sem sp=none.
O logótipo é um SVG quadrado no perfil restrito «SVG Tiny Portable/Secure», servido por HTTPS. Uma exportação SVG comum costuma ser recusada.
O Gmail só mostra o logótipo com certificado: um VMC (Verified Mark Certificate), que exige marca registada, ou um CMC (Common Mark Certificate), que exige que o logótipo esteja em uso há pelo menos um ano. O Yahoo pode mostrá-lo sem certificado.

Nota: Os certificados são emitidos por poucas autoridades de certificação e custam de algumas centenas a mais de mil dólares por ano. O BIMI é uma funcionalidade de marca — não melhora a entregabilidade por si só, e a aplicação do DMARC traz o benefício de segurança com ou sem ele.

Por que ordem

SPF, DKIM e DMARC com p=none e relatórios (veja Como configurar o DMARC).
TLS-RPT — gratuito, inofensivo e informativo desde o primeiro dia.
MTA-STS em testing e depois enforce, quando os relatórios TLS estiverem limpos.
DMARC passado a p=quarantine e depois a p=reject.
BIMI, se um logótipo na caixa de entrada lhe valer o certificado.

Dica: Se o seu domínio estiver assinado com DNSSEC e o seu fornecedor de email o suportar, o DANE (registos TLSA, RFC 7672) dá a mesma proteção que o MTA-STS sem servidor web, e muitos fornecedores europeus verificam-no. Os dois podem funcionar em paralelo.

Verificar a segurança do email do seu domínio →A seguir: como configurar o DMARC →

Perguntas frequentes

Preciso de MTA-STS se usar Google Workspace ou Microsoft 365?

Eles cifram por omissão, mas é o MTA-STS que impede um remetente de voltar ao texto simples quando um atacante retira o STARTTLS. Publica-o para o seu domínio; os certificados do fornecedor já cumprem o requisito.

Porque não se aplica a minha política MTA-STS?

Na maioria dos casos o ficheiro de política não está acessível por HTTPS com um certificado válido para mta-sts.<o seu domínio>, as linhas mx não coincidem com os registos MX, ou o id não foi alterado depois de uma edição.

O TLS-RPT é útil sem MTA-STS?

Sim. Mostra as falhas TLS nas ligações aos seus servidores de email, publique ou não uma política, e é o primeiro passo seguro.

Posso usar BIMI sem VMC?

O registo funciona sem certificado, mas o Gmail não mostra o logótipo. Sem marca registada, o CMC é a alternativa mais barata.

Experimente no seu domínio

Veja a teoria na prática — execute Verificação de segurança do correio para o seu próprio domínio.

Atualizado em 13 de outubro de 2026

Fontes