MTA-STS och TLS-RPT kort förklarat
MTA-STS och TLS-RPT är två inställningar för din domän som handlar om kryptering av e-post som kommer in till dig. Du stöter på dem i tester som internet.nl eller i en rapport från en säkerhetsskanning. I den här artikeln kan du läsa vad de gör, hur de ser ut och om du behöver dem. Kort svar i förväg: för de flesta kunder är det inte nödvändigt.
Vad löser det?
När en e-postserver levererar e-post till mottagarens e-postserver krypteras anslutningen om det går (STARTTLS). Går det inte, skickas e-posten oftast okrypterad ändå. Certifikatet för den mottagande servern kontrolleras dessutom ofta inte strikt. Någon som kan manipulera trafiken på vägen kan på så sätt stänga av krypteringen eller leda e-posten till en egen server.
Med MTA-STS meddelar du som mottagare: e-post till min domän måste alltid krypteras, och endast till dessa e-postservrar med ett giltigt certifikat. En avsändare som stöder MTA-STS håller sig till det.
De två delarna av MTA-STS
1. Ett TXT-record på namnet _mta-sts, som anger att det finns en policy:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
id är ett versionsnummer som du själv väljer. Ändrar du policyn, ändra då också id, så att avsändare hämtar den nya policyn.
2. En policyfil på exakt denna adress, via https med ett giltigt certifikat:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Rad | Betydelse |
|---|---|
mode: testing | Avsändare levererar som vanligt, men rapporterar problem via TLS-RPT. Med detta börjar du. |
mode: enforce | Avsändare levererar endast via en krypterad anslutning med ett giltigt certifikat, till en av de angivna e-postservrarna. Går det inte, blir e-posten liggande i kö hos avsändaren. |
mode: none | Det finns ingen policy (längre). |
mx: | Namnet på din e-postserver, exakt som i ditt MX-record. Har du fler MX-record, sätter du varje namn på en egen rad. Med ett paket hos WebOké är det oftast servernamnet för ditt paket, som i exemplet; certifikatet för vår e-postserver gäller det namnet. Pekar ditt MX mot ditt eget domännamn, stämmer certifikatet eventuellt inte överens med det, och då bör du inte använda enforce. |
max_age: | Hur länge en avsändare får komma ihåg policyn, i sekunder. 604800 är en vecka. |
En avsändare kommer ihåg policyn. Därför skyddar MTA-STS inte vid den allra första gången en avsändare skickar e-post till dig, men väl därefter.
TLS-RPT: rapporter om krypteringen
Med TLS-RPT ber du avsändare om en daglig rapport om misslyckad kryptering, till exempel på grund av ett utgånget certifikat eller ett e-postservernamn som inte finns i din policy. Det är ett TXT-record på namnet _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Rapporterna är tekniska filer (JSON). Använd precis som vid DMARC-rapporter en separat brevlåda för dem. Se Läsa en DMARC-rapport.
Ordningen: först TLS-RPT, sedan MTA-STS med testing, läs rapporter i några veckor, och först därefter enforce.
MTA-STS eller DANE?
DANE gör samma sak på ett annat sätt: fingeravtrycket för certifikatet till din e-postserver finns i DNS (ett TLSA-record), säkrat med DNSSEC. DANE skyddar även den första anslutningen, men fungerar endast om DNSSEC är aktiverat. MTA-STS behöver ingen DNSSEC, men väl en webbplats med ett certifikat. Du får gärna använda dem tillsammans; en avsändare som stöder DANE ger då företräde åt DANE.
Ligger din e-post hos WebOké kan du aktivera DANE i Mitt WebOké på samma plats som DNSSEC. WebOké underhåller därefter TLSA-recorden själv. Läs DNSSEC och DANE och Internet.nl-checklista: nå 100% med din webbplats och e-post.
Behöver du det?
För de flesta kunder inte. E-post mellan stora e-postservrar krypteras numera nästan alltid, och vill du skydda din e-post extra hos WebOké är DANE det enklaste steget. MTA-STS är framför allt användbart om din organisation kräver det, eller om du förväntar dig mottagare som använder MTA-STS men inte DANE. För din egen utgående e-post behöver du inte ställa in något: det avgörs av servern som skickar din e-post.
Ställa in det själv för ett webbhotellpaket
De två TXT-recorden lägger du till i DNS Management i DirectAdmin eller på fliken DNS i Mitt WebOké. Se Hantera DNS-poster i Mitt WebOké (med exempel för CNAME, TXT och externa tjänster).
Policyfilen måste ligga på subdomänen mta-sts. I ditt paket kan du skapa den subdomänen i Subdomain Management; DirectAdmin begär då själv ett SSL-certifikat för den. Se Skapa och ta bort subdomäner och Certifikat för www, subdomäner och wildcard. I mappen för subdomänen lägger du en mapp .well-known med filen mta-sts.txt i.
enforce utan vidare. Stämmer ett e-postservernamn inte, eller passar certifikatet för e-postservern inte ihop med det namnet, kommer ingen e-post längre fram hos avsändare som följer MTA-STS. Policyfilen måste dessutom gå att öppna direkt: avsändare följer ingen omdirigering till en annan adress. Börja med testing, läs TLS-RPT-rapporterna, och kontakta oss gärna vid tvivel.Bakgrund: RFC 8461 (MTA-STS) och RFC 8460 (TLS-RPT).