Na kratko razloženo: MTA-STS in TLS-RPT
MTA-STS in TLS-RPT sta dve nastavitvi za Vašo domeno, ki se nanašata na šifriranje pošte, ki prihaja do Vas. Srečate ju v testih, kot je internet.nl, ali v poročilu varnostnega pregleda. V tem članku preberete, kaj počneta, kako izgledata in ali ju potrebujete. Kratek odgovor vnaprej: za večino strank to ni potrebno.
Kaj rešuje?
Ko poštni strežnik dostavlja pošto na poštni strežnik prejemnika, šifrirata povezavo, če je to mogoče (STARTTLS). Če to ne uspe, pošta ponavadi gre nešifrirana. Tudi certifikat prejemnega strežnika se pogosto ne preverja strogo. Nekdo, ki lahko med potjo spreminja promet, lahko tako izklopi šifriranje ali preusmeri pošto na svoj lasten strežnik.
Z MTA-STS kot prejemnik sporočate: pošta na mojo domeno mora biti vedno šifrirana, in samo na te poštne strežnike z veljavnim certifikatom. Pošiljatelj, ki podpira MTA-STS, se tega drži.
Dva dela MTA-STS
1. TXT zapis na imenu _mta-sts, ki pove, da obstaja pravilnik:
_mta-sts.vašadomena.nl. TXT "v=STSv1; id=20261108T120000;"
id je številka različice, ki jo izberete sami. Ko spremenite pravilnik, spremenite tudi id, da pošiljatelji pridobijo nov pravilnik.
2. Datoteka pravilnika na natanko tem naslovu, preko https z veljavnim certifikatom:
https://mta-sts.vašadomena.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Vrstica | Pomen |
|---|---|
mode: testing | Pošiljatelji dostavljajo kot vedno, vendar prijavijo težave preko TLS-RPT. S tem začnete. |
mode: enforce | Pošiljatelji dostavljajo samo preko šifrirane povezave z veljavnim certifikatom, na enega od navedenih poštnih strežnikov. Če to ne uspe, pošta ostane v čakalni vrsti pri pošiljatelju. |
mode: none | Pravilnika (ni več). |
mx: | Ime Vašega poštnega strežnika, natanko tako, kot je v Vašem MX zapisu. Če imate več MX zapisov, vsako ime postavite v svojo vrstico. Pri paketu WebOké je to ponavadi ime strežnika Vašega paketa, kot v primeru; certifikat našega poštnega strežnika je izdan na to ime. Če Vaš MX kaže na Vaše lastno ime domene, certifikat morda ne ustreza temu in ne smete uporabiti enforce. |
max_age: | Koliko časa sme pošiljatelj pomniti pravilnik, v sekundah. 604800 je en teden. |
Pošiljatelj si pravilnik zapomni. Zato MTA-STS ne ščiti ob prvem stiku, ko Vam pošiljatelj pošlje pošto, vendar pa ščiti pri vseh naslednjih.
TLS-RPT: poročila o šifriranju
S TLS-RPT prosite pošiljatelje za dnevno poročilo o neuspešnem šifriranju, na primer zaradi poteklega certifikata ali imena poštnega strežnika, ki ni v Vašem pravilniku. Gre za en TXT zapis na imenu _smtp._tls:
_smtp._tls.vašadomena.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@vašadomena.nl"
Poročila so tehnične datoteke (JSON). Tako kot pri poročilih DMARC uporabite ločen poštni predal. Glejte Branje poročila DMARC.
Vrstni red: najprej TLS-RPT, nato MTA-STS na testing, nekaj tednov branja poročil, in šele nato enforce.
MTA-STS ali DANE?
DANE počne isto na drugačen način: prstni odtis certifikata Vašega poštnega strežnika je zapisan v DNS (zapis TLSA), zavarovan z DNSSEC. DANE ščiti tudi prvo povezavo, vendar deluje samo, če je DNSSEC vklopljen. MTA-STS ne potrebuje DNSSEC, vendar potrebuje spletno mesto s certifikatom. Lahko ju uporabite skupaj; pošiljatelj, ki podpira DANE, daje prednost DANE.
Če je Vaša pošta pri WebOké, lahko DANE vklopite v Moj WebOké na istem mestu kot DNSSEC. WebOké nato sam vzdržuje zapise TLSA. Preberite DNSSEC in DANE ter Kontrolni seznam Internet.nl: dosezite 100% za vaše spletno mesto in e-pošto.
Ali to potrebujete?
Za večino strank ne. Pošta med velikimi poštnimi strežniki je danes skoraj vedno šifrirana, in če želite dodatno zaščititi svojo pošto pri WebOké, je DANE najpreprostejši korak. MTA-STS je predvsem koristen, če to predpisuje Vaša organizacija, ali če pričakujete prejemnike, ki uporabljajo MTA-STS, vendar ne DANE. Za Vašo lastno odhodno pošto Vam ni treba ničesar nastaviti: to določa strežnik, ki pošilja Vašo pošto.
Samostojna nastavitev pri gostovalnem paketu
Oba TXT zapisa nastavite v Upravljanje DNS v DirectAdmin ali na zavihku DNS v Moj WebOké. Glejte Upravljanje DNS zapisov v Moj WebOké (s primeri za CNAME, TXT in zunanje storitve).
Datoteka pravilnika mora biti na subdomeni mta-sts. V Vašem paketu lahko to subdomeno ustvarite v Upravljanje subdomen; DirectAdmin nato zanjo sam zaprosi za SSL certifikat. Glejte Ustvarjanje in brisanje subdomen ter Certifikat za www, subdomene in nadomestni znak (wildcard). V mapi subdomene ustvarite mapo .well-known, v kateri je datoteka mta-sts.txt.
enforce. Če ime poštnega strežnika ni pravilno, ali če certifikat poštnega strežnika ne ustreza temu imenu, pošta ne bo več prihajala od pošiljateljev, ki upoštevajo MTA-STS. Datoteka pravilnika mora biti poleg tega neposredno dostopna: pošiljatelji ne sledijo preusmeritvi na drug naslov. Začnite z testing, preberite poročila TLS-RPT, in se v primeru dvoma najprej obrnite na nas.Ozadje: RFC 8461 (MTA-STS) in RFC 8460 (TLS-RPT).