MTA-STS und TLS-RPT kurz erklärt
MTA-STS und TLS-RPT sind zwei Einstellungen für Ihre Domain, die sich mit der Verschlüsselung von eingehender E-Mail befassen. Sie begegnen ihnen in Tests wie internet.nl oder in einem Bericht einer Sicherheitsprüfung. In diesem Artikel erfahren Sie, was sie bewirken, wie sie aussehen und ob Sie sie benötigen. Kurze Antwort vorab: für die meisten Kunden ist es nicht notwendig.
Was wird damit gelöst?
Wenn ein Mailserver E-Mail beim Mailserver des Empfängers zustellt, verschlüsseln sie die Verbindung, wenn das möglich ist (STARTTLS). Gelingt das nicht, wird die E-Mail meist einfach unverschlüsselt versendet. Auch wird das Zertifikat des empfangenden Servers oft nicht streng geprüft. Jemand, der den Datenverkehr unterwegs verändern kann, kann so die Verschlüsselung ausschalten oder die E-Mail zu einem eigenen Server umleiten.
Mit MTA-STS teilen Sie als Empfänger mit: E-Mail an meine Domain muss immer verschlüsselt sein, und nur an diese Mailserver mit einem gültigen Zertifikat. Ein Absender, der MTA-STS unterstützt, hält sich daran.
Die zwei Bestandteile von MTA-STS
1. Ein TXT-Record auf dem Namen _mta-sts, der angibt, dass es ein Regelwerk gibt:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
Die id ist eine Versionsnummer, die Sie selbst wählen. Passen Sie das Regelwerk an, ändern Sie auch die id, damit Absender das neue Regelwerk abrufen.
2. Eine Regelwerksdatei an genau dieser Adresse, über https mit einem gültigen Zertifikat:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Zeile | Bedeutung |
|---|---|
mode: testing | Absender stellen zu wie immer, melden aber Probleme über TLS-RPT. Damit fangen Sie an. |
mode: enforce | Absender stellen nur über eine verschlüsselte Verbindung mit einem gültigen Zertifikat bei einem der genannten Mailserver zu. Gelingt das nicht, bleibt die E-Mail beim Absender in der Warteschlange. |
mode: none | Es gibt (kein) Regelwerk mehr. |
mx: | Der Name Ihres Mailservers, genau wie in Ihrem MX-Record. Haben Sie mehrere MX-Records, setzen Sie jeden Namen in eine eigene Zeile. Bei einem Paket von WebOké ist das meist der Servername Ihres Pakets, wie im Beispiel; das Zertifikat unseres Mailservers ist auf diesen Namen ausgestellt. Zeigt Ihr MX auf Ihre eigene Domain, passt das Zertifikat dort möglicherweise nicht dazu, und Sie sollten kein enforce verwenden. |
max_age: | Wie lange ein Absender das Regelwerk merken darf, in Sekunden. 604800 ist eine Woche. |
Ein Absender merkt sich das Regelwerk. Dadurch schützt MTA-STS nicht beim allerersten Mal, dass ein Absender Ihnen eine E-Mail schickt, danach jedoch schon.
TLS-RPT: Berichte über die Verschlüsselung
Mit TLS-RPT bitten Sie Absender um einen täglichen Bericht über fehlgeschlagene Verschlüsselung, zum Beispiel durch ein abgelaufenes Zertifikat oder einen Mailservernamen, der nicht in Ihrem Regelwerk steht. Es handelt sich um einen TXT-Record auf dem Namen _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Die Berichte sind technische Dateien (JSON). Verwenden Sie dafür, wie bei DMARC-Berichten, eine separate Mailbox. Siehe Einen DMARC-Bericht lesen.
Die Reihenfolge: zuerst TLS-RPT, dann MTA-STS auf testing, einige Wochen Berichte lesen, und erst danach enforce.
MTA-STS oder DANE?
DANE erreicht dasselbe auf andere Weise: der Fingerabdruck des Zertifikats Ihres Mailservers steht im DNS (ein TLSA-Record), gesichert mit DNSSEC. DANE schützt auch die erste Verbindung, funktioniert aber nur, wenn DNSSEC aktiviert ist. MTA-STS benötigt kein DNSSEC, wohl aber eine Website mit einem Zertifikat. Sie dürfen beide nebeneinander verwenden; ein Absender, der DANE unterstützt, gibt dann DANE den Vorrang.
Liegt Ihre E-Mail bei WebOké, können Sie DANE in Mein WebOké an derselben Stelle wie DNSSEC aktivieren. WebOké pflegt die TLSA-Records danach selbst. Lesen Sie DNSSEC und DANE und Internet.nl-Checkliste: 100% erreichen mit Ihrer Website und E-Mail.
Benötigen Sie es?
Für die meisten Kunden nicht. E-Mail zwischen großen Mailservern wird heutzutage fast immer verschlüsselt, und möchten Sie Ihre E-Mail bei WebOké zusätzlich schützen, ist DANE der einfachste Schritt. MTA-STS ist vor allem nützlich, wenn Ihre Organisation es vorschreibt, oder wenn Sie Empfänger erwarten, die wohl MTA-STS, aber kein DANE verwenden. Für Ihre eigene ausgehende E-Mail müssen Sie nichts einstellen: das bestimmt der Server, der Ihre E-Mail versendet.
Selbst einrichten bei einem Hostingpaket
Die zwei TXT-Records setzen Sie in der DNS-Verwaltung in DirectAdmin oder auf der Registerkarte DNS in Mein WebOké. Siehe DNS-Records verwalten in Mein WebOké (mit Beispielen für CNAME, TXT und externe Dienste).
Die Regelwerksdatei muss auf der Subdomain mta-sts liegen. In Ihrem Paket können Sie diese Subdomain in der Subdomain-Verwaltung anlegen; DirectAdmin fordert dann selbst ein SSL-Zertifikat dafür an. Siehe Subdomains anlegen und entfernen und Zertifikat für www, Subdomains und Wildcard. Im Verzeichnis der Subdomain legen Sie einen Ordner .well-known an, in dem sich die Datei mta-sts.txt befindet.
enforce. Stimmt ein Mailservername nicht, oder passt das Zertifikat des Mailservers nicht zu diesem Namen, kommt bei Absendern, die MTA-STS befolgen, keine E-Mail mehr an. Die Regelwerksdatei muss zudem direkt aufrufbar sein: Absender folgen keiner Weiterleitung zu einer anderen Adresse. Beginnen Sie mit testing, lesen Sie die TLS-RPT-Berichte, und nehmen Sie im Zweifelsfall zunächst Kontakt mit uns auf.Hintergrund: RFC 8461 (MTA-STS) und RFC 8460 (TLS-RPT).