MTA-STS-Policy

Ein DNS-Eintrag, der sendende Server auf TLS mit gültigem Zertifikat für Mail an diese Domain verpflichtet. Optional — ohne ihn kann Mail unterwegs auf Klartext zurückgestuft werden.

• Hilfe

SMTP zwischen Mailservern verschlüsselt nur opportunistisch: Entfernt jemand auf dem Weg das STARTTLS-Angebot oder präsentiert ein falsches Zertifikat, fällt der sendende Server auf Klartext zurück und stellt trotzdem zu. MTA-STS (RFC 8461) schließt diese Lücke. Es teilt sendenden Servern mit, dass Ihre Domain Mail immer per TLS mit gültigem Zertifikat annimmt und andernfalls nicht zugestellt werden soll.

So prüft SiteScan

Die Zeile erscheint nur, wenn die Domain MX-Einträge hat. Der Scan sucht einen TXT-Eintrag unter _mta-sts.example.com, der mit v=STSv1 beginnt. Er ist optional, „Fehlt“ ist also eine neutrale Tatsache. Der TXT-Eintrag ist allerdings nur die halbe Einrichtung: Die Policy-Datei selbst ruft SiteScan nicht ab.

So richten Sie es ein

• Veröffentlichen Sie die Policy unter https://mta-sts.example.com/.well-known/mta-sts.txt mit gültigem Zertifikat. Sie enthält version: STSv1, mode: testing (später enforce), je Mailhost eine mx:-Zeile und max_age: 604800.
• Legen Sie den TXT-Eintrag _mta-sts.example.com TXT "v=STSv1; id=20260101" an und ändern Sie die id bei jeder Policy-Änderung.
• Starten Sie im Testmodus und ergänzen Sie TLS-RPT, um Fehler vor dem Durchsetzen zu sehen.

Siehe auch E-Mail-Authentifizierung.