TLS-RPT

TLS-RPTとは何ですか？

TLS-RPT（SMTP TLS Reporting）は、ドメイン所有者がメール配信中に発生する トランスポート層セキュリティ（TLS）の問題についてレポートを受け取れるようにする、メールセキュリティの標準です。

RFC 8460で定義されているTLS-RPTは、MTA-STS（Mail Transfer Agent Strict Transport Security）と連携し、組織が暗号化されたメール接続を監視しトラブルシューティングできるよう支援します。MTA-STSがメールサーバー間のTLS暗号化を適用するのに対し、TLS-RPTは可視性を提供し、それらの接続が成功したか、失敗したか、あるいはダウングレードされたかを報告します。

一般的なTLS-RPTのDNSレコードは次のようになります。

このレコードは、そのドメインのTLS接続結果に関する日次レポートをどこへ送ればよいかを受信サーバーに伝えます。

TLS-RPTの仕組み

メールサーバーがあなたのドメインへメッセージを配信しようとすると、安全なTLS接続の確立を試みます。送信サーバーはあなたのMTA-STSポリシーを確認し、その後、暗号化された接続が成功したか失敗したかを報告します。

TLS-RPTはこのデータを収集し、JSON形式の集約レポートを（通常は日次で）DNSレコードに指定されたアドレスへ、rua タグを通じて送信します。

各レポートには通常、次の情報が含まれます。

• 報告元サーバーのドメインと組織
• 成功と失敗の件数
• エラーの種類（証明書の不一致、非対応のTLSバージョン、STARTTLSのダウングレードなど）
• 報告された事象の時間帯

これらのレポートにより、管理者は安全なメール配信を妨げている暗号化の問題、設定ミス、悪意のある活動を検出できます。

TLS-RPTが安全なメール転送に重要な理由

TLS-RPTがなければ、組織は、メッセージが暗号化されずに送られていないか、傍受されていないか、証明書の問題で拒否されていないかを、まったく把握できないかもしれません。

TLS-RPTを導入すると、次のことに役立ちます。

• すべての受信・送信メールについて暗号化の適用範囲を検証する。
• MTA-STSやメールサーバー証明書の設定エラーを特定する。
• 攻撃者がSMTP接続からTLSを剥がそうとするダウングレード攻撃を検出する。
• 暗号化された通信を求めるデータ保護規制への準拠を維持する。

MTA-STSと組み合わせることで、TLS-RPTはポリシーの適用と可視性の両方を提供し、機微なデータが転送中も保護されたまま保たれるよう支援します。

TLS-RPTとDMARCeye

DMARCeyeは、TLS-RPTやMTA-STSといった関連するDNSレコードを監視することで、認証にとどまらず転送のセキュリティにまで可視性を広げます。

DMARCeyeはドメインレポートのインターフェースを通じて、TLS-RPTの設定が有効であること、レポートが受信されていること、そして体系的なTLSの問題がメールインフラに影響していないことを確認できるよう支援します。

認証に関する知見（DMARCから）と転送層のレポート（TLS-RPTから）を組み合わせることで、DMARCeyeは、誰が自社を代理してメールを送っているのか、そしてそれらのメッセージがどれほど安全に配信されているのかについて、組織に全体像を提供します。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。