MTA-STS en TLS-RPT kort uitgelegd
MTA-STS en TLS-RPT zijn twee instellingen voor je domein die gaan over de versleuteling van mail die bij jou binnenkomt. Je komt ze tegen in tests zoals internet.nl of in een rapport van een beveiligingsscan. In dit artikel lees je wat ze doen, hoe ze eruitzien en of je ze nodig hebt. Kort antwoord vooraf: voor de meeste klanten is het niet nodig.
Wat lost het op?
Als een mailserver mail aflevert bij de mailserver van de ontvanger, versleutelen ze de verbinding als dat kan (STARTTLS). Lukt dat niet, dan gaat de mail meestal gewoon onversleuteld. Ook wordt het certificaat van de ontvangende server vaak niet streng gecontroleerd. Iemand die het verkeer onderweg kan aanpassen, kan de versleuteling zo uitschakelen of de mail naar een eigen server leiden.
Met MTA-STS laat je als ontvanger weten: mail naar mijn domein moet altijd versleuteld, en alleen naar deze mailservers met een geldig certificaat. Een verzender die MTA-STS ondersteunt, houdt zich daaraan.
De twee onderdelen van MTA-STS
1. Een TXT-record op de naam _mta-sts, dat zegt dat er een beleid is:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
De id is een versienummer dat je zelf kiest. Pas je het beleid aan, verander dan ook de id, zodat verzenders het nieuwe beleid ophalen.
2. Een beleidsbestand op precies dit adres, via https met een geldig certificaat:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Regel | Betekenis |
|---|---|
mode: testing | Verzenders leveren af zoals altijd, maar melden problemen via TLS-RPT. Hiermee begin je. |
mode: enforce | Verzenders leveren alleen af via een versleutelde verbinding met een geldig certificaat, bij een van de genoemde mailservers. Lukt dat niet, dan blijft de mail bij de verzender in de wachtrij. |
mode: none | Er is geen beleid (meer). |
mx: | De naam van je mailserver, precies zoals in je MX-record. Heb je meer MX-records, dan zet je elke naam op een eigen regel. Bij een pakket van WebOké is dat meestal de servernaam van je pakket, zoals in het voorbeeld; het certificaat van onze mailserver staat op die naam. Wijst je MX naar je eigen domeinnaam, dan past het certificaat daar mogelijk niet bij en mag je geen enforce gebruiken. |
max_age: | Hoe lang een verzender het beleid mag onthouden, in seconden. 604800 is een week. |
Een verzender onthoudt het beleid. Daardoor beschermt MTA-STS niet bij de allereerste keer dat een verzender jou mailt, maar daarna wel.
TLS-RPT: rapporten over de versleuteling
Met TLS-RPT vraag je verzenders om een dagelijks rapport over mislukte versleuteling, bijvoorbeeld door een verlopen certificaat of een mailservernaam die niet in je beleid staat. Het is één TXT-record op de naam _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
De rapporten zijn technische bestanden (JSON). Gebruik er net als bij DMARC-rapporten een aparte mailbox voor. Zie Een DMARC-rapport lezen.
De volgorde: eerst TLS-RPT, dan MTA-STS op testing, een paar weken rapporten lezen, en pas daarna enforce.
MTA-STS of DANE?
DANE doet hetzelfde op een andere manier: de vingerafdruk van het certificaat van je mailserver staat in de DNS (een TLSA-record), beveiligd met DNSSEC. DANE beschermt ook de eerste verbinding, maar werkt alleen als DNSSEC aan staat. MTA-STS heeft geen DNSSEC nodig, maar wel een website met een certificaat. Je mag ze naast elkaar gebruiken; een verzender die DANE ondersteunt, geeft dan voorrang aan DANE.
Staat je mail bij WebOké, dan kun je DANE in Mijn WebOké aanzetten op dezelfde plek als DNSSEC. WebOké houdt de TLSA-records daarna zelf bij. Lees DNSSEC en DANE en Internet.nl-checklist: 100% halen met je website en e-mail.
Heb je het nodig?
Voor de meeste klanten niet. Mail tussen grote mailservers wordt tegenwoordig bijna altijd versleuteld, en wil je je mail extra beschermen bij WebOké, dan is DANE de eenvoudigste stap. MTA-STS is vooral nuttig als je organisatie het voorschrijft, of als je ontvangers verwacht die wel MTA-STS maar geen DANE gebruiken. Voor je eigen uitgaande mail hoef je niets in te stellen: dat bepaalt de server die je mail verstuurt.
Zelf instellen bij een hostingpakket
De twee TXT-records zet je in DNS Beheer in DirectAdmin of op het tabblad DNS in Mijn WebOké. Zie DNS-records beheren in Mijn WebOké (met voorbeelden voor CNAME, TXT en externe diensten).
Het beleidsbestand moet op het subdomein mta-sts staan. In je pakket kun je dat subdomein aanmaken in Subdomein Beheer; DirectAdmin vraagt er dan zelf een SSL-certificaat voor aan. Zie Subdomeinen aanmaken en verwijderen en Certificaat voor www, subdomeinen en wildcard. In de map van het subdomein zet je een map .well-known met daarin het bestand mta-sts.txt.
enforce. Klopt een mailservernaam niet, of past het certificaat van de mailserver niet bij die naam, dan komt er geen mail meer binnen bij verzenders die MTA-STS volgen. Het beleidsbestand moet bovendien direct te openen zijn: verzenders volgen geen doorverwijzing naar een ander adres. Begin met testing, lees de TLS-RPT-rapporten, en neem bij twijfel eerst contact met ons op.Achtergrond: RFC 8461 (MTA-STS) en RFC 8460 (TLS-RPT).