Was ist TLS-RPT?
TLS-RPT (SMTP TLS Reporting) erlaubt einer Domain, tägliche Berichte über TLS-Verbindungsfehler von sendenden Servern zu erhalten, sodass Sie erkennen können, wenn Mail unsicher zugestellt wird. IPeek liest den _smtp._tls-TXT-Record und zeigt die Berichtsziele. Es ergänzt MTA-STS und DANE, indem es Ihnen Einblick gibt, wie diese Richtlinien in der Praxis abschneiden.
So funktioniert das TLS-RPT-Reporting
TLS-RPT wird als einzelner DNS-TXT-Record unter _smtp._tls.ihre-domain veröffentlicht. Der Record enthält einen Versions-Tag und einen rua=-Tag, der auflistet, wohin Berichte gesendet werden sollen, entweder eine mailto-Adresse oder ein HTTPS-Endpunkt. Sendende Server, die den Standard unterstützen, aggregieren die Ergebnisse ihrer TLS-Aushandlungen mit Ihren MX-Hosts über einen Tag und liefern einen JSON-Bericht an diese Ziele. Jeder Bericht zählt erfolgreiche und fehlgeschlagene Sitzungen und kategorisiert Fehler, etwa Zertifikatsvalidierungsfehler oder nicht verfügbares STARTTLS, und gibt Ihnen so eine Rückmeldeschleife zur tatsächlichen Zustellung.
So lesen Sie Ihre TLS-RPT-Ergebnisse
IPeek bestätigt, ob der _smtp._tls-TXT-Record existiert, und zeigt die rua-Ziele, die es analysiert. Verifizieren Sie, dass die Version TLSRPTv1 ist und dass jedes rua-Ziel ein gültiges Postfach oder eine HTTPS-URL ist, die Sie tatsächlich überwachen. Der Record selbst erzwingt nichts; er fordert nur Berichte an, sodass seine Präsenz bedeutet, dass Sender wissen, wohin sie TLS-Fehlerdaten senden. Sobald Berichte eintreffen, betrachten Sie die Fehlertypen: certificate-expired, Validierungsfehler und starttls-not-supported weisen jeweils auf eine bestimmte Behebung an Ihrer empfangenden Infrastruktur hin, bevor sie stille Zustellprobleme verursachen.
Wie TLS-RPT mit MTA-STS und DANE zusammenhängt
MTA-STS und DANE erzwingen TLS bei eingehender Mail, aber die Durchsetzung ist nur dann sicher, wenn Sie sehen können, was sie mit dem echten Verkehr macht. TLS-RPT liefert diese Sichtbarkeit: Wenn Sie MTA-STS im testing-Modus einsetzen, zeigen die Berichte, welche Sender TLS-Fehler treffen, bevor Sie zu enforce wechseln. Dasselbe gilt für DANE-TLSA-Abweichungen. Betrachten Sie TLS-RPT als die Überwachungsebene Ihrer TLS-Lage, eingesetzt neben – nicht anstelle – der Durchsetzungsmechanismen, sodass Sie Zertifikats- und Konfigurationsprobleme früh erkennen.