TLS-RPTレコードチェッカー
無料のTLS-RPT検索ツール - ドメインのSMTP TLSレポート用DNSレコードを即座に確認し、RFC 8460に準拠しているかを検証し、MTA-STSポリシーと整合しているかを確認し、レポート送信先アドレスが実際にレポートを受信できるかを確認できます。
グーグル
  • グーグル
  • クラウドフレア
  • OpenDNS
  • クワッド9
ルートドメインを入力してください。_smtp._tls の TXT レコードを自動的に照会し、その有効性を確認した上で、MTA-STS のペアリングをチェックします。

TLS-RPTレコードを確認すべき理由

正しく設定されたメールサーバーであっても、TLS経由での配信が気付かれないまま失敗することがあります。そのような事態が発生したかどうかを確認するには、TLS-RPTレコードを確認するしかありません。

TLSの障害を早期に検知する
配信問題に発展する前に、送信メールサーバーがあなたのドメインへの暗号化接続を確立できない正確なタイミングを把握しましょう。
MTA-STSの設定を確認する
TLS-RPTは、MTA-STSの適用によって引き起こされたポリシーや接続の障害を報告します。このツールは、稼働中のMTA-STSポリシーを読み取るため、ペアリング状況を確認することができます。
レポートが届くことを確認する
報告先住所は、メールが届かないようでは意味がありません。当社は、各RUA宛先について、実際にレポートを配達できる場所があるかどうかを確認しています。

TLS-RPTチェッカーの使い方

TLS-RPTのルックアップの実行には数秒しかかかりません。以下の3つの手順に従って、SMTP TLSレポーティングの設定を確認してください。

1
ドメインを入力してください。 ルートドメインを入力してください（例： example.com) - 以下の追加は不要です _smtp._tls 接頭辞については、自動的に処理します。
2
リゾルバーを選んで確認してください。Google、Cloudflare、OpenDNS、またはQuad9のいずれかを選択し、Enterキーを押すか、「レコードを確認」をクリックして、当サーバーからリアルタイムでDNSクエリを実行してください。
3
結果を確認します。バージョンおよびruaタグがRFC 8460に準拠しているかを検証し、ペアになっているMTA-STSポリシーを点検し、各報告先への到達可能性を確認します。

TLS-RPTレコードとは何ですか？

SMTP TLS レポーティング（TLS-RPT）は、RFC 8460 で定義された電子メール規格であり、ドメイン所有者が、暗号化された TLS 接続を介した電子メールの配信失敗に関するレポートを受け取れるようにするものです。これは MTA-STS と連携して機能し、そうでなければ見過ごされてしまうような問題（証明書検証の失敗、ダウングレード攻撃、非対応の STARTTLS など）を明らかにします。

1つのTXTレコード
掲載日： _smtp._tls.yourdomain.com, これにより、受信メールサーバーに対し、TLS接続の試行に関する集計レポートをどこに送信すべきかを指定します。
取り締まりではなく、報告
TLS-RPT自体は、何もブロックしたり強制したりすることはありません。これは純粋にフィードバックチャネルであり、MTA-STSと組み合わせて機能する可視化レイヤーです。
無料で手間もかからない
必要なのは2つのタグだけです。必須ではありませんが、費用はかからず、実際の死角を解消できるベストプラクティスです。
_smtp._tls.yourdomain.com.IN TXT "v=TLSRPTv1; rua=mailto:[email protected]"
; v -> このレコードが TLS-RPT (RFC 8460) であることを示す
; rua -> 集約された TLS レポートの送信先

TLS-RPT 対 MTA-STS：その違いとは？

MTA-STS（Mail Transfer Agent Strict Transport Security）は、強制メカニズムです。これは、送信元のメールサーバーに対して、あなたのドメインが有効な TLS 暗号化接続を要求していることを通知し、暗号化されていない接続や設定ミスのある接続を経由した配信をブロックします。TLS-RPTは報告メカニズムです。それ自体では何も強制しませんが、送信サーバーに対し、TLS接続の試行が成功した場合と失敗した場合（MTA-STSポリシーに起因するものも含む）の両方をどこに報告すべきかを伝えます。

この2つは連携して機能するように設計されています。MTA-STSは暗号化を強制し、TLS-RPTはその強制が配信の問題を引き起こしているかどうかを確認するためのフィードバックループを提供します。そのため、このチェッカーではMTA-STSポリシーも検査しており、両者が整合しているかを確認できます。当社のMTA-STSレコードチェッカーを使用すれば、強制側の詳細を詳しく確認することができます。

TLS-RPTタグの解説

すべてのTLS-RPTレコードは、少数のタグから構成されています。各タグの意味は以下の通りです。

v=
バージョン（必須）

このレコードをTLS-RPTレコードとして識別します。これは最初のタグでなければならず、常に TLSRPTv1.

rua=
集計レポートのURI（必須）

TLSレポートの集計データが送信される先。以下の値を受け付けます： mailto: 住所、および https:// エンドポイント、またはその両方をコンマ区切りで並べたリスト。

TLS-RPTの一般的な問題とその解決方法

TLS-RPTの設定で一般的に発生する問題と、それぞれの結果がドメインに与える影響について説明します。

レコードは見つかりませんでした。
_smtp._tls には何もありません
正しいホストにTXTレコードが存在しないため、TLS配信失敗の報告は一切届きません。
_smtp._tls.yourdomain.com に、有効な v= および rua= タグを含む TXT レコードを登録してください。
不正な v= タグ
TLS-RPT として認識されません
このレコードは v=TLSRPTv1 で始まっていないため、メールサーバーはこれを TLS-RPT レコードとして扱いません。
v=TLSRPTv1 を、レコード内の最初の正確なタグとして設定します。
rua= が欠落しているか、無効です
報告は行き場がない
レポートの送信先が定義されていないか、mailto/https URI の形式が不正であるため、レポートを送信できません。
有効な「mailto:」または「https:」URIを少なくとも1つ追加し、宛先がそれを受信できることを確認してください。
複数のレコード
複数の TLS-RPT レコード
RFC 8460 では、同一ホストに 2 つ以上の TLS-RPT レコードを設定することは許可されておらず、検証エラーが発生する可能性があります。
すべての宛先を1つのruaタグにまとめ、TLS-RPTレコードを正確に1つに統合する。

TLS-RPTレポートの読み方

レコードが公開されると、受信メールサーバーは、ruaの宛先へ定期的に集計レポートを送信し始めます。レポートの内容は以下の通りです。

ポリシーの詳細
レポートの対象となる送信ドメインに対して適用されているポリシー種別（例：sts、no-policy-found）。
集計結果の概要
レポート対象期間（通常は24時間）における、TLS接続の成功および失敗の合計回数。
障害の詳細
失敗の種類（分類）――証明書の有効期限切れ、ホスト名の不一致、STARTTLS非対応――と、その例となる送信元IPアドレス。

生のJSONレポートは、特に数十もの異なるメールプロバイダーから受信している場合、大量になると読み解くのが困難になります。PowerDMARCのプラットフォームは、TLS-RPTレポートを自動的に解析し、DMARC、SPF、MTA-STSのデータとともに、見やすいダッシュボードに表示します。

TLS-RPTレコードを公開する方法

DNSプロバイダーにログインし、以下の値を使用して新しいTXTレコードを追加してください。

ホスト/名前
_smtp._tls
タイプ
TXT
TTL
3600（デフォルト）
伝播
最大48時間
価値
v=TLSRPTv1; rua=mailto:[email protected]

DNSの変更が完全に反映されるまで最大48時間かかる場合がありますが、ほとんどのプロバイダーでは数時間以内に更新されます。反映されたら、上記のチェッカーを使用して、正しく公開されていることを確認してください。

よくあるご質問

TLS-RPTはDMARCと同じものですか？
いいえ。DMARCは、お客様のドメインから送信されたメッセージの認証（SPF/DKIM）の失敗について報告するものです。一方、TLS-RPTは、お客様のドメインへのメール配信時に、暗号化されたTLS接続の確立に失敗した場合について具体的に報告するものです。これらは相互に補完し合うものの、独立した規格です。
私のドメインデータは御社のサーバーに送信されますか？
入力されたドメイン名は当社のサーバーに送信され、そこで、お客様が選択したパブリックリゾルバーに対してDNSルックアップが実行されます。これは、誰でも dig コマンド。お客様が確認したドメインや、返されたレコードについては、ログを記録したり保存したりすることはありません。
TLS-RPT を使用するには、MTA-STS が必要ですか？
いいえ、TLS-RPTは単独で導入可能です。ただし、MTA-STSとの組み合わせで最もその価値が発揮されます。なぜなら、MTA-STSの適用によって生じる接続やポリシーの不具合を報告してくれるからです。また、このチェッカーはMTA-STSポリシーも検査するため、両者がどのように整合しているかを確認することができます。
TLS-RPTは必須ですか？
いいえ、TLS-RPTはオプションであり、主要なメールボックスプロバイダーのいずれからも必須とはされていません。これは、TLSによる配信の問題を可視化するための、無料で手間のかからない方法であり、DMARC、SPF、DKIM、MTA-STSと並んでベストプラクティスと見なされています。
ruaアドレスを複数使用することはできますか？
はい。カンマで区切って複数の宛先を指定することができ、mailto: と https: の URI を混在させることも可能です。例えば、 rua=mailto:[email protected],https://reports.example.com/tlsrpt. このツールは、それぞれを検証し、メールの送信先が実際にメールを受信できるかどうかを確認します。
レポートを、自分のドメインとは異なるドメインに送信することはできますか？
はい。DMARCとは異なり、RFC 8460ではTLS-RPT用の外部宛先認証レコードが定義されていないため、追加のDNS設定を行うことなく、ruaをサードパーティの処理業者（PowerDMARCなど）に指定することができます。このツールでは、分かりやすくするために外部宛先にフラグを立てていますが、それらは完全に有効なものです。
TLS-RPTレコードが「見つかりません」と表示されるのはなぜですか？
そのレコードがまだ公開されていないか、DNSの変更が完全に反映されていないか、あるいはレコードが間違ったホストに追加されたかのいずれかです。正確に _smtp._tls.yourdomain.com、単に yourdomain.com だけではなく。
レポートの送信先として、メールの代わりにHTTPSエンドポイントを使用することはできますか？
はい。RFC 8460 では、mailto: および https: の両方のレポート URI がサポートされています。https エンドポイントは、レポートを gzip 圧縮された JSON ペイロードとして含む HTTP POST リクエストを受け入れる必要があります。これは通常、大規模な組織や、PowerDMARC のようなレポートを自動的に処理するプラットフォームで使用されます。

メール認証を自動化しましょう

PowerDMARCは、DMARC、SPF、DKIM、BIMI、MTA-STS、TLS-RPTのレコードを1つのダッシュボードで監視し、問題が発生した瞬間にアラートを送信します。

デモを予約する 15日間の無料体験を開始する