MTA-STS- und TLS-RPT-Check

Geben Sie eine Domain ein: Sie sehen, ob an sie gesendete E-Mails verschlüsselt ankommen müssen. Der Check liest den _mta-sts-Eintrag, ruft die Richtliniendatei ab, wie es ein sendender Server täte, vergleicht sie mit Ihren MX-Hosts und liest den TLS-RPT-Eintrag, der Absendern sagt, wohin sie Fehler melden.

Die DNS-Abfragen gehen von Ihrem Browser an öffentliche Resolver. Unser Server ruft eine einzige Datei ab, die Richtlinie der eingegebenen Domain, und behält die Antwort zehn Minuten.

Was der Check betrachtet

Der _mta-sts-Eintrag: Ein TXT-Eintrag, der sagt, dass eine Richtlinie existiert, und ihre ID trägt. Absender rufen die Richtlinie nur dann erneut ab, wenn sich die ID ändert: Vergessen Sie das, werden Ihre Änderungen nicht gesehen.
Die Richtliniendatei: Ausgeliefert unter https://mta-sts.ihredomain/.well-known/mta-sts.txt, mit gültigem Zertifikat und ohne Weiterleitung. Sie nennt den Modus, die zugelassenen MX-Hosts und wie lange Absender sie behalten dürfen.
Ihre MX-Hosts gegenüber der Richtlinie: Jeder MX-Host der Domain muss zu einer „mx“-Zeile passen. Im Modus „enforce“ verweigert ein Absender die Zustellung an einen Host, den die Richtlinie nicht nennt.
Der TLS-RPT-Eintrag: Ein TXT-Eintrag an _smtp._tls mit der Adresse, an die Absender täglich die Zustellungen melden, die nicht verschlüsselt werden konnten.

So lesen Sie das Ergebnis

Durchgesetzt: Absender, die MTA-STS unterstützen (Google, Microsoft und andere), stellen nur über TLS mit gültigem Zertifikat zu, an die von Ihnen genannten Hosts. Ein Angreifer auf dem Weg kann die Verschlüsselung nicht mehr entfernen.
Im Test: Absender stellen wie gewohnt zu und melden nur, was fehlgeschlagen wäre. Der richtige erste Schritt: Bleiben Sie dabei, bis die Berichte sauber sind, und wechseln Sie dann zu „enforce“.
Veröffentlicht, aber unbrauchbar: Ein Eintrag ohne lesbare Richtlinie schützt nichts, und jeder Absender fällt auf die gewöhnliche Zustellung zurück. Der Befund sagt, welcher Teil scheitert.

Fehler, auf die man stößt

Was bei der Einrichtung von MTA-STS am häufigsten schiefgeht und wie Sie es beheben.

Die Richtliniendatei lässt sich nicht abrufen

Ursache. Der Host mta-sts.ihredomain existiert nicht, antwortet mit einer Weiterleitung oder zeigt ein Zertifikat, das abgelaufen ist oder genau diesen Namen nicht abdeckt. Absender folgen keinen Weiterleitungen und akzeptieren hier kein ungültiges Zertifikat.

Behebung. Legen Sie den Host mta-sts an, liefern Sie die Datei direkt per HTTPS unter /.well-known/mta-sts.txt mit einem für mta-sts.ihredomain gültigen Zertifikat aus und antworten Sie mit 200 ohne Weiterleitung.

Ein MX-Host steht nicht in der Richtlinie

Ursache. Ein Mailserver kam hinzu oder der Anbieter wurde gewechselt, und die Richtlinie nennt noch die alten Hosts. Im Modus „enforce“ lehnen Absender, die MTA-STS anwenden, E-Mails an den nicht genannten Host ab.

Behebung. Ergänzen Sie eine „mx“-Zeile je Host (oder einen Platzhalter wie *.mail.protection.outlook.com) und ändern Sie dann die ID des _mta-sts-Eintrags, damit Absender die neue Richtlinie abrufen.

Änderungen an der Richtlinie werden nicht übernommen

Ursache. Absender behalten die Richtlinie max_age Sekunden lang und sehen die Datei nur erneut an, wenn sich die ID des TXT-Eintrags ändert.

Behebung. Ändern Sie die ID (üblich sind Datum und Uhrzeit) bei jeder Änderung der Datei. Vor einem Wechsel des E-Mail-Anbieters veröffentlichen Sie zuerst beide Host-Gruppen.

Fragen

Ist MTA-STS dasselbe wie STARTTLS?

Nein. STARTTLS bietet Verschlüsselung an, aber ein Angreifer auf dem Weg kann das Angebot entfernen, und die E-Mail geht im Klartext. MTA-STS sagt Absendern, dass Verschlüsselung mit gültigem Zertifikat für Ihre Domain verlangt ist.

Welchen Wert für max_age soll ich wählen?

Eine Woche (604800) bis einige Wochen, sobald „enforce“ gilt; einen Tag während des Tests. Das Maximum ist ein Jahr. Ein langer Wert schützt länger, lässt aber auch einen Fehler länger wirken.

Brauche ich TLS-RPT?

Es ist freiwillig, aber ohne es erfahren Sie nie, dass Zustellungen scheitern. Veröffentlichen Sie es vor der Richtlinie und lesen Sie die Berichte, bevor Sie zu „enforce“ wechseln.

Was senden Sie an Ihre Server?

Die DNS-Abfragen gehen von Ihrem Browser an öffentliche Resolver. Die Richtliniendatei ruft unser Server ab, weil ein Browser sie nicht von einer anderen Website aus lesen darf: Er erhält die eingegebene Domain, ruft nur diese eine Datei ab und behält die Antwort zehn Minuten.