MTA-STS și TLS-RPT explicate pe scurt
MTA-STS și TLS-RPT sunt două setări pentru domeniul dumneavoastră care privesc criptarea mesajelor de e-mail primite. Le întâlniți în teste precum internet.nl sau într-un raport de scanare de securitate. În acest articol aflați ce fac, cum arată și dacă aveți nevoie de ele. Răspuns scurt în prealabil: pentru majoritatea clienților nu este necesar.
Ce rezolvă?
Când un server de e-mail livrează un mesaj serverului de e-mail al destinatarului, conexiunea este criptată dacă este posibil (STARTTLS). Dacă acest lucru nu reușește, mesajul este de obicei trimis necriptat. De asemenea, certificatul serverului destinatar nu este adesea verificat riguros. Cineva care poate modifica traficul pe traseu poate astfel dezactiva criptarea sau poate redirecționa mesajul către un server propriu.
Cu MTA-STS, în calitate de destinatar, anunțați: mesajele către domeniul meu trebuie să fie întotdeauna criptate și trimise doar către acești servere de e-mail cu un certificat valid. Un expeditor care acceptă MTA-STS respectă această regulă.
Cele două componente ale MTA-STS
1. O înregistrare TXT la numele _mta-sts, care indică faptul că există o politică:
_mta-sts.domeniuldvs.nl. TXT "v=STSv1; id=20261108T120000;"
id este un număr de versiune pe care îl alegeți dumneavoastră. Dacă modificați politica, schimbați și id, astfel încât expeditorii să preia noua politică.
2. Un fișier de politică la exact această adresă, prin https cu un certificat valid:
https://mta-sts.domeniuldvs.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Linie | Semnificație |
|---|---|
mode: testing | Expeditorii livrează mesajele ca de obicei, dar raportează problemele prin TLS-RPT. Cu aceasta începeți. |
mode: enforce | Expeditorii livrează mesajele doar printr-o conexiune criptată cu un certificat valid, către unul dintre serverele de e-mail menționate. Dacă acest lucru nu reușește, mesajul rămâne în coada de așteptare la expeditor. |
mode: none | Nu există (mai) nicio politică. |
mx: | Numele serverului dumneavoastră de e-mail, exact așa cum apare în înregistrarea MX. Dacă aveți mai multe înregistrări MX, scrieți fiecare nume pe o linie proprie. Pentru un pachet WebOké, acesta este de obicei numele serverului pachetului dumneavoastră, ca în exemplu; certificatul serverului nostru de e-mail este emis pentru acel nume. Dacă MX-ul dumneavoastră indică spre propriul nume de domeniu, este posibil ca certificatul să nu corespundă, iar în acest caz nu trebuie să folosiți enforce. |
max_age: | Cât timp poate reține expeditorul politica, în secunde. 604800 reprezintă o săptămână. |
Un expeditor reține politica. Astfel, MTA-STS nu oferă protecție la prima dată când un expeditor vă trimite un mesaj, dar ulterior da.
TLS-RPT: rapoarte despre criptare
Cu TLS-RPT solicitați expeditorilor un raport zilnic despre criptarea eșuată, de exemplu din cauza unui certificat expirat sau a unui nume de server de e-mail care nu figurează în politica dumneavoastră. Este o singură înregistrare TXT la numele _smtp._tls:
_smtp._tls.domeniuldvs.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@domeniuldvs.nl"
Rapoartele sunt fișiere tehnice (JSON). Folosiți, la fel ca în cazul rapoartelor DMARC, o căsuță de e-mail separată pentru acestea. Consultați Citirea unui raport DMARC.
Ordinea: mai întâi TLS-RPT, apoi MTA-STS în modul testing, citiți rapoartele timp de câteva săptămâni și abia apoi activați enforce.
MTA-STS sau DANE?
DANE realizează același lucru într-un mod diferit: amprenta certificatului serverului dumneavoastră de e-mail este înregistrată în DNS (o înregistrare TLSA), securizată cu DNSSEC. DANE protejează și prima conexiune, dar funcționează doar dacă DNSSEC este activat. MTA-STS nu are nevoie de DNSSEC, dar necesită un site web cu un certificat. Puteți folosi ambele în paralel; un expeditor care acceptă DANE acordă atunci prioritate DANE.
Dacă e-mailul dumneavoastră este găzduit la WebOké, puteți activa DANE în Contul meu WebOké în același loc ca DNSSEC. WebOké gestionează apoi automat înregistrările TLSA. Citiți DNSSEC și DANE și Lista de verificare Internet.nl: obțineți 100% pentru site-ul și e-mailul dumneavoastră.
Aveți nevoie de acest lucru?
Pentru majoritatea clienților, nu. Mesajele de e-mail între servere mari sunt astăzi aproape întotdeauna criptate, iar dacă doriți să protejați suplimentar e-mailul la WebOké, DANE este cel mai simplu pas. MTA-STS este util mai ales dacă organizația dumneavoastră îl impune sau dacă vă așteptați la destinatari care folosesc MTA-STS, dar nu DANE. Pentru e-mailurile dumneavoastră trimise, nu trebuie să configurați nimic: acest lucru este determinat de serverul care trimite mesajele.
Configurare proprie pentru un pachet de găzduire
Cele două înregistrări TXT se configurează în Administrare DNS din DirectAdmin sau în fila DNS din Contul meu WebOké. Consultați Gestionarea înregistrărilor DNS în Contul meu WebOké (cu exemple pentru CNAME, TXT și servicii externe).
Fișierul de politică trebuie să se afle pe subdomeniul mta-sts. În pachetul dumneavoastră puteți crea acest subdomeniu în Administrare subdomenii; DirectAdmin va solicita atunci automat un certificat SSL pentru acesta. Consultați Crearea și ștergerea subdomeniilor și Certificat pentru www, subdomenii și wildcard. În directorul subdomeniului, creați un director .well-known în care plasați fișierul mta-sts.txt.
enforce fără o pregătire atentă. Dacă un nume de server de e-mail este incorect sau dacă certificatul serverului de e-mail nu corespunde acelui nume, nu veți mai primi mesaje de la expeditorii care respectă MTA-STS. În plus, fișierul de politică trebuie să poată fi accesat direct: expeditorii nu urmează redirecționări către o altă adresă. Începeți cu testing, citiți rapoartele TLS-RPT și, în caz de îndoială, contactați-ne mai întâi.Context: RFC 8461 (MTA-STS) și RFC 8460 (TLS-RPT).