Was ist MTA-STS?
MTA-STS erlaubt einer Domain zu verlangen, dass eingehende Mail über authentifiziertes TLS zugestellt wird, und schützt so vor Downgrade- und Man-in-the-Middle-Angriffen. IPeek liest den _mta-sts-TXT-Record und ruft die unter mta-sts.ihre-domain veröffentlichte Policy-Datei ab. Es schließt die Lücke, die das opportunistische STARTTLS lässt, das ein Angreifer stillschweigend entfernen kann.
Wie MTA-STS eine Richtlinie veröffentlicht und durchsetzt
MTA-STS besteht aus zwei Teilen. Ein TXT-Record unter _mta-sts.ihre-domain enthält eine Version und eine Policy-ID, die sendenden Servern mitteilt, dass eine Richtlinie existiert, und sich ändert, wenn Sie sie aktualisieren. Die Richtlinie selbst liegt in einer Klartextdatei, die über HTTPS unter https://mta-sts.ihre-domain/.well-known/mta-sts.txt ausgeliefert wird. Diese Datei listet die Version, den Modus, die zulässigen MX-Hostnamen und eine max_age-Cache-Lebensdauer auf. Ein Sender, der MTA-STS unterstützt, ruft die Richtlinie ab und cached sie, und verweigert dann die Zustellung an jeden MX, dessen Zertifikat nicht dagegen validiert.
So lesen Sie Ihre MTA-STS-Ergebnisse
IPeek zeigt, ob der _mta-sts-TXT-Record existiert und ob die Policy-Datei über HTTPS erreichbar ist. Der Modus-Wert ist am wichtigsten. none bedeutet, dass keine Richtlinie in Kraft ist, testing bedeutet, dass Fehler gemeldet werden, aber Mail weiter fließt, und enforce bedeutet, dass ein Sender die Zustellung abbrechen muss, wenn die TLS-Authentifizierung fehlschlägt. Prüfen Sie, dass die mx-Einträge in der Richtlinie mit Ihren echten MX-Records übereinstimmen und dass das HTTPS-Zertifikat auf dem Policy-Host gültig ist. Ein hoher max_age-Wert, oft 604800 Sekunden, verbessert den Schutz, weil gecachte Richtlinien Live-Manipulationen widerstehen.
Häufige MTA-STS-Probleme und ihre Behebung
Der häufigste Fehler ist ein TXT-Record, der existiert, während die Policy-Datei einen 404 oder eine Weiterleitung zurückgibt, was die Richtlinie unbrauchbar macht. Der Policy-Host muss gültiges HTTPS ausliefern, sodass ein abgelaufenes oder nicht passendes Zertifikat auf mta-sts.ihre-domain die Durchsetzung vollständig bricht. MX-Einträge, die mit Ihrem DNS außer Takt geraten, verursachen Zustellfehler, sobald Sie auf enforce wechseln. Rollen Sie zuerst im testing-Modus aus, überwachen Sie TLS-RPT-Berichte auf Fehler und wechseln Sie erst zu enforce, nachdem Sie bestätigt haben, dass jeder MX ein gültiges, passendes Zertifikat präsentiert.