TLS-RPT-Eintrag für Berichte

Wohin empfangende Server ihre Berichte über fehlgeschlagene TLS-Zustellungen schicken. Optional und nur zusammen mit MTA-STS sinnvoll.

• Hilfe

TLS-RPT (SMTP TLS Reporting, RFC 8460) bittet sendende Mailserver, Ihnen mitzuteilen, wenn sie keine verschlüsselte Verbindung zu Ihrer Domain aufbauen konnten: ein abgelaufenes oder unpassendes Zertifikat am MX-Host, ein gescheitertes STARTTLS, eine nicht abrufbare Policy. Große Absender wie Google und Microsoft schicken täglich eine JSON-Zusammenfassung an die veröffentlichte Adresse.

Ohne TLS-RPT bleiben TLS-Probleme bei eingehender Mail unsichtbar: Nachrichten kommen unverschlüsselt an oder – bei durchgesetzter MTA-STS-Policy – gar nicht, und niemand sagt es Ihnen.

So prüft SiteScan

Die Zeile erscheint nur bei Domains mit MX-Einträgen. Der Scan sucht einen TXT-Eintrag unter _smtp._tls.example.com, der mit v=TLSRPTv1 beginnt. Er ist optional und vor allem zusammen mit MTA-STS sinnvoll, daher wird sein Fehlen als neutrale Tatsache gezeigt.

So richten Sie es ein

Ein TXT-Eintrag genügt:

_smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.com"

Nutzen Sie ein eigenes Postfach oder einen Auswertungsdienst, denn die Berichte sind maschinenlesbar und kommen täglich von jedem großen Absender. Mehrere Ziele lassen sich durch Kommas trennen, auch eine https://-Adresse. Mehr unter E-Mail-Authentifizierung.