MTA-STS og TLS-RPT kort forklaret
MTA-STS og TLS-RPT er to indstillinger for dit domæne, der handler om kryptering af mail, der kommer ind til dig. Du støder på dem i tests som internet.nl eller i en rapport fra en sikkerhedsscanning. I denne artikel kan du læse, hvad de gør, hvordan de ser ud, og om du har brug for dem. Kort svar på forhånd: for de fleste kunder er det ikke nødvendigt.
Hvad løser det?
Når en mailserver afleverer mail til modtagerens mailserver, krypterer de forbindelsen, hvis det er muligt (STARTTLS). Lykkes det ikke, sendes mailen som regel bare ukrypteret. Certifikatet på den modtagende server bliver heller ikke altid kontrolleret strengt. Nogen, der kan ændre trafikken undervejs, kan dermed slå krypteringen fra eller lede mailen til sin egen server.
Med MTA-STS fortæller du som modtager: mail til mit domæne skal altid være krypteret, og kun til disse mailservere med et gyldigt certifikat. En afsender, der understøtter MTA-STS, overholder dette.
De to dele af MTA-STS
1. En TXT record på navnet _mta-sts, som angiver, at der findes en politik:
_mta-sts.dindomæne.nl. TXT "v=STSv1; id=20261108T120000;"
id er et versionsnummer, du selv vælger. Hvis du ændrer politikken, skal du også ændre id, så afsendere henter den nye politik.
2. En politikfil på præcis denne adresse, via https med et gyldigt certifikat:
https://mta-sts.dindomæne.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Linje | Betydning |
|---|---|
mode: testing | Afsendere afleverer som sædvanligt, men melder problemer via TLS-RPT. Her starter du. |
mode: enforce | Afsendere afleverer kun via en krypteret forbindelse med et gyldigt certifikat, hos en af de nævnte mailservere. Lykkes det ikke, bliver mailen hos afsenderen i køen. |
mode: none | Der er ikke (længere) en politik. |
mx: | Navnet på din mailserver, præcis som i dit MX record. Har du flere MX records, skal du angive hvert navn på sin egen linje. Ved en pakke fra WebOké er det som regel servernavnet på din pakke, som i eksemplet; certifikatet på vores mailserver er udstedt til det navn. Hvis dit MX peger på dit eget domænenavn, passer certifikatet muligvis ikke dertil, og du bør ikke bruge enforce. |
max_age: | Hvor længe en afsender må huske politikken, i sekunder. 604800 er en uge. |
En afsender husker politikken. Derfor beskytter MTA-STS ikke ved allerførste gang, en afsender mailer til dig, men derefter gør den.
TLS-RPT: rapporter om krypteringen
Med TLS-RPT beder du afsendere om en daglig rapport om mislykket kryptering, for eksempel på grund af et udløbet certifikat eller et mailservernavn, der ikke står i din politik. Det er ét TXT record på navnet _smtp._tls:
_smtp._tls.dindomæne.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@dindomæne.nl"
Rapporterne er tekniske filer (JSON). Brug ligesom ved DMARC rapporter en separat mailboks til dem. Se Sådan læser du en DMARC rapport.
Rækkefølgen: først TLS-RPT, derefter MTA-STS på testing, læs rapporter i et par uger, og først derefter enforce.
MTA-STS eller DANE?
DANE gør det samme på en anden måde: fingeraftrykket af certifikatet på din mailserver står i DNS (en TLSA record), sikret med DNSSEC. DANE beskytter også den første forbindelse, men virker kun, hvis DNSSEC er slået til. MTA-STS kræver ikke DNSSEC, men kræver en hjemmeside med et certifikat. Du kan bruge dem begge samtidig; en afsender, der understøtter DANE, giver så DANE forrang.
Ligger din mail hos WebOké, kan du slå DANE til i Mit WebOké samme sted som DNSSEC. WebOké vedligeholder derefter selv TLSA records. Læs DNSSEC og DANE og Internet.nl tjekliste: opnå 100% med din hjemmeside og e-mail.
Har du brug for det?
For de fleste kunder ikke. Mail mellem store mailservere er i dag næsten altid krypteret, og vil du beskytte din mail ekstra hos WebOké, er DANE det enkleste skridt. MTA-STS er især nyttigt, hvis din organisation kræver det, eller hvis du forventer modtagere, der bruger MTA-STS, men ikke DANE. For din egen udgående mail behøver du ikke indstille noget: det bestemmes af den server, der sender din mail.
Indstil det selv på en hostingpakke
De to TXT records opretter du i DNS Administration i DirectAdmin eller under fanen DNS i Mit WebOké. Se Administrer DNS records i Mit WebOké (med eksempler for CNAME, TXT og eksterne tjenester).
Politikfilen skal ligge på subdomænet mta-sts. I din pakke kan du oprette dette subdomæne i Administrer subdomæner; DirectAdmin anmoder derefter selv om et SSL certifikat til det. Se Oprette og fjerne subdomæner og Certifikat til www, subdomæner og wildcard. I mappen for subdomænet opretter du en mappe .well-known med filen mta-sts.txt i.
enforce. Er et mailservernavn forkert, eller passer certifikatet på mailserveren ikke til det navn, holder afsendere, der følger MTA-STS, op med at aflevere mail til dig. Politikfilen skal desuden kunne åbnes direkte: afsendere følger ikke en viderestilling til en anden adresse. Start med testing, læs TLS-RPT rapporterne, og kontakt os først, hvis du er i tvivl.Baggrund: RFC 8461 (MTA-STS) og RFC 8460 (TLS-RPT).