MTA-STS og TLS-RPT kort forklart
MTA-STS og TLS-RPT er to innstillinger for domenet ditt som handler om kryptering av e-post som kommer inn til deg. Du støter på dem i tester som internet.nl eller i en rapport fra en sikkerhetsskanning. I denne artikkelen leser du hva de gjør, hvordan de ser ut, og om du trenger dem. Kort svar på forhånd: for de fleste kunder er det ikke nødvendig.
Hva løser det?
Når en mailserver leverer e-post til mottakerens mailserver, krypterer de forbindelsen hvis det er mulig (STARTTLS). Lykkes ikke det, går e-posten vanligvis bare ukryptert. Sertifikatet til den mottakende serveren blir heller ikke alltid strengt kontrollert. Noen som kan endre trafikken underveis, kan dermed slå av krypteringen eller lede e-posten til en egen server.
Med MTA-STS gir du som mottaker beskjed om: e-post til mitt domene skal alltid være kryptert, og bare sendes til disse mailserverne med et gyldig sertifikat. En avsender som støtter MTA-STS, følger dette.
De to delene av MTA-STS
1. En TXT-post på navnet _mta-sts, som sier at det finnes et regelsett:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
id er et versjonsnummer du velger selv. Endrer du regelsettet, må du også endre id, slik at avsendere henter det nye regelsettet.
2. En regelsettfil på nøyaktig denne adressen, via https med et gyldig sertifikat:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Linje | Betydning |
|---|---|
mode: testing | Avsendere leverer som vanlig, men melder fra om problemer via TLS-RPT. Dette er det du begynner med. |
mode: enforce | Avsendere leverer bare via en kryptert forbindelse med et gyldig sertifikat, til en av de nevnte mailserverne. Lykkes ikke det, blir e-posten liggende i kø hos avsenderen. |
mode: none | Det finnes ikke (lenger) et regelsett. |
mx: | Navnet på mailserveren din, nøyaktig som i MX-posten din. Har du flere MX-poster, setter du hvert navn på en egen linje. Med en pakke fra WebOké er dette som regel servernavnet til pakken din, som i eksempelet; sertifikatet til mailserveren vår er utstedt til det navnet. Peker MX-en din til ditt eget domenenavn, passer sertifikatet kanskje ikke med det, og da bør du ikke bruke enforce. |
max_age: | Hvor lenge en avsender kan huske regelsettet, i sekunder. 604800 er en uke. |
En avsender husker regelsettet. Derfor beskytter ikke MTA-STS ved aller første gang en avsender sender e-post til deg, men gjør det ved alle senere forsøk.
TLS-RPT: rapporter om krypteringen
Med TLS-RPT ber du avsendere om en daglig rapport om mislykket kryptering, for eksempel på grunn av et utløpt sertifikat eller et mailservernavn som ikke står i regelsettet ditt. Det er én TXT-post på navnet _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Rapportene er tekniske filer (JSON). Bruk, som med DMARC-rapporter, en egen postkasse til dette. Se Lese en DMARC-rapport.
Rekkefølgen: først TLS-RPT, deretter MTA-STS på testing, les rapporter i noen uker, og først deretter enforce.
MTA-STS eller DANE?
DANE gjør det samme på en annen måte: fingeravtrykket til sertifikatet til mailserveren din står i DNS (en TLSA-post), sikret med DNSSEC. DANE beskytter også den første forbindelsen, men fungerer bare hvis DNSSEC er slått på. MTA-STS trenger ikke DNSSEC, men krever en nettside med et sertifikat. Du kan bruke dem begge samtidig; en avsender som støtter DANE, gir da forrang til DANE.
Ligger e-posten din hos WebOké, kan du slå på DANE i Min side samme sted som DNSSEC. WebOké holder deretter TLSA-postene oppdatert selv. Les DNSSEC og DANE og Internet.nl-sjekkliste: oppnå 100 % med nettsiden og e-posten din.
Trenger du det?
For de fleste kunder, nei. E-post mellom store mailservere blir i dag nesten alltid kryptert, og vil du beskytte e-posten din ekstra hos WebOké, er DANE det enkleste steget. MTA-STS er særlig nyttig hvis organisasjonen din krever det, eller hvis du forventer mottakere som bruker MTA-STS, men ikke DANE. For din egen utgående e-post trenger du ikke stille inn noe: det bestemmes av serveren som sender e-posten din.
Still inn selv med en hostingpakke
De to TXT-postene setter du opp i DNS Administrasjon i DirectAdmin eller på fanen DNS i Min side. Se Administrere DNS-poster i Min side (med eksempler for CNAME, TXT og eksterne tjenester).
Regelsettfilen må ligge på subdomenet mta-sts. I pakken din kan du opprette dette subdomenet i Subdomain Administrasjon; DirectAdmin ber da selv om et SSL-sertifikat for det. Se Opprette og slette subdomener og Sertifikat for www, subdomener og wildcard. I mappen til subdomenet oppretter du en mappe .well-known med filen mta-sts.txt i.
enforce uten videre. Stemmer ikke et mailservernavn, eller passer ikke sertifikatet til mailserveren med det navnet, kommer det ikke lenger inn e-post fra avsendere som følger MTA-STS. Regelsettfilen må dessuten kunne åpnes direkte: avsendere følger ikke en viderekobling til en annen adresse. Begynn med testing, les TLS-RPT-rapportene, og ta ved tvil kontakt med oss først.Bakgrunn: RFC 8461 (MTA-STS) og RFC 8460 (TLS-RPT).