Apa Itu MTA-STS dan Kenapa Penting

Saat Anda mengirim email, pesan itu bepergian dari server Anda ke server penerima melalui jaringan Internet. Perjalanan ini rentan: tanpa enkripsi transport yang dipaksa, penyerang dapat mengintersepsi, membaca, atau mengubah email Anda. SPF, DKIM, dan DMARC memverifikasi identitas pengirim, tetapi mereka tidak menjamin pesan terenkripsi saat dalam perjalanan. Di sinilah MTA-STSmasuk — standar yang memaksa koneksi TLS terenkripsi antara server email, melindungi email Anda dari serangan man-in-the-middle.

Apa Itu MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security) adalah standar IETF yang memungkinkan pemilik domain untuk menginstruksikan server email penerima agar selalu menggunakan enkripsi TLS saat mengirim email ke domain Anda. Dengan cara ini, penerima email tahu bahwa jika mereka tidak dapat membuat koneksi TLS terenkripsi ke server email Anda, mereka sebaiknya menolak email — bukan mengirimnya tanpa enkripsi.

Sebelum MTA-STS, email sering dikirim dengan "opportunistic encryption": jika koneksi TLS tersedia, gunakan; jika tidak, kirim tanpa enkripsi. Ini membuka celah bagi penyerang untuk downgrade (menutup koneksi TLS dan memaksa pengiriman plaintext). MTA-STS menghilangkan pilihan itu.

Bagaimana MTA-STS Bekerja?

Implementasi MTA-STS melibatkan dua komponen: policy fileyang dihosting di domain Anda dan record DNSyang menunjuk ke policy tersebut.

1. Policy File:Anda membuat file teks kecil yang berisi instruksi enkripsi (misalnya: hanya terima email melalui TLS dari MX server yang terdaftar, kebijakan berlaku selama 1 minggu).
2. Publikasi DNS:Anda menambahkan record DNS TXT yang memberi tahu server email penerima di mana menemukan policy ini.
3. Cache Policy:Server penerima mengunduh policy Anda, menyimpannya dalam cache, dan menerapkannya untuk pengiriman email berikutnya ke domain Anda.
4. Enkripsi Dipaksakan:Jika server penerima tidak dapat membuat koneksi TLS terenkripsi atau sertifikat tidak valid, email ditolak (bukan diturunkan ke plaintext).

Statistik Adopsi MTA-STS di Email Global

Meskipun SPF, DKIM, dan DMARC telah diadopsi oleh mayoritas domain global, MTA-STS masih jauh tertinggal. Data dari email-statsmenunjukkan bahwa kurang dari 5% domain top-1 juta telah mengimplementasikan MTA-STS — jauh di bawah tingkat adopsi SPF (>80%) dan DKIM (>70%).

Alasan adopsi rendah beragam: banyak organisasi tidak menyadari risiko man-in-the-middle, atau merasa implementasi MTA-STS terlalu kompleks. Namun, Gmail, Microsoft, dan penyedia email besar lainnya secara aktif mendorong adopsi, dan regulasi privasi data seperti UU Pelindungan Data Pribadi (UU PDP) di Indonesia membuat keamanan email semakin penting.

MTA-STS vs SPF, DKIM, dan DMARC

Pertanyaan umum: berapa hubungan MTA-STS dengan SPF, DKIM, dan DMARC? Jawaban singkat: mereka melayani tujuan berbeda dan saling melengkapi.

• SPF— memverifikasi bahwa server pengirim email disetujui oleh pemilik domain. Tidak menangani enkripsi transport.
• DKIM— menandatangani email secara kriptografis sehingga penerima dapat memverifikasi bahwa pesan tidak diubah dalam perjalanan. Tidak memaksa enkripsi transport.
• DMARC— memberitahu penerima apa yang harus dilakukan jika SPF atau DKIM gagal (misalnya: tetapkan flag atau tolak). Juga tidak memaksa enkripsi transport.
• MTA-STS— memaksa koneksi TLS terenkripsi antara server email. Ini melindungi email dari serangan downgrade dan man-in-the-middle di layer transport, sebelum SPF/DKIM/DMARC bahkan diperiksa.

Ringkasnya: SPF/DKIM/DMARC memverifikasi siapamengirim email dan apayang berisi; MTA-STS memastikan bagaimanaemail dikirim (terenkripsi).

Cara Implementasi MTA-STS

Implementasi MTA-STS melibatkan empat langkah dasar:

1. Siapkan server mail dengan sertifikat HTTPS yang valid— MTA-STS memerlukan sertifikat SSL/TLS yang valid untuk MX server Anda. Sertifikat harus mencakup nama host MX Anda (misalnya mail.example.com).
2. Buat policy file— Buat file bernama mta-sts.txtdengan konten: v=STSv1; max_age=604800; mode=enforce; mx=mail.example.com

   Ganti mail.example.comdengan nama host MX server Anda. Mode enforcememaksa TLS; gunakan testinguntuk fase uji coba.

3. Hosting policy di .well-known/mta-sts.txt— Letakkan file di https://.mta-sts.example.com/.well-known/mta-sts.txt(catatan: subdomain .mta-sts, bukan domain root). Pastikan server web mengembalikan header Content-Type: text/plain.
4. Publikasikan record DNS TXT— Tambahkan record DNS TXT di domain Anda: _mta-sts.example.com. IN TXT "v=STSv1; id=20260713a;"

   idadalah string unik (gunakan tanggal dan suffix: 20260713a, 20260713b, dst.). Setiap kali Anda mengubah policy, ubah ID ini.

Risiko Jika Tidak Menggunakan MTA-STS

Tanpa MTA-STS, server penerima dapat dipaksa untuk mengirim email tanpa enkripsi. Skenario serangan:

• Downgrade attack— Penyerang mengintersepsi upaya koneksi TLS, menutupnya, dan server penerima jatuh ke plaintext SMTP.
• Man-in-the-middle— Penyerang dapat membaca atau mengubah isi email saat dalam perjalanan.
• Kompromi data sensitif— Email berisi password reset, data finansial, atau informasi pribadi — semua rentan jika tidak terenkripsi.

Regulasi seperti UU Pelindungan Data Pribadi Indonesia dan UU ITE (Informasi dan Transaksi Elektronik) menuntut perlindungan data pribadi yang memadai, termasuk enkripsi dalam transit. MTA-STS adalah salah satu cara untuk menunjukkan kepatuhan.