MTA-STS a TLS-RPT stručně vysvětleny
MTA-STS a TLS-RPT jsou dvě nastavení pro Vaši doménu, která se týkají šifrování příchozí pošty. Setkáte se s nimi v testech jako internet.nl nebo ve zprávě z bezpečnostního skenu. V tomto článku se dozvíte, co dělají, jak vypadají a zda je potřebujete. Krátká odpověď předem: pro většinu zákazníků to není nutné.
Co to řeší?
Když mailový server doručuje poštu na mailový server příjemce, spojení se šifruje, pokud je to možné (STARTTLS). Pokud se to nepodaří, pošta se obvykle doručí stejně, jen nešifrovaně. Certifikát přijímajícího serveru se navíc často přísně nekontroluje. Někdo, kdo dokáže upravit provoz po cestě, tak může šifrování vypnout nebo přesměrovat poštu na vlastní server.
Pomocí MTA-STS jako příjemce sdělujete: pošta na mou doménu musí být vždy šifrovaná, a to pouze na tyto mailové servery s platným certifikátem. Odesílatel, který podporuje MTA-STS, se tím řídí.
Dvě části MTA-STS
1. TXT záznam na názvu _mta-sts, který oznamuje, že existuje zásada:
_mta-sts.vasedomena.nl. TXT "v=STSv1; id=20261108T120000;"
id je číslo verze, které si zvolíte sami. Pokud zásadu upravíte, změňte také id, aby si odesílatelé stáhli novou zásadu.
2. Soubor se zásadou na přesně této adrese, přes https s platným certifikátem:
https://mta-sts.vasedomena.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Řádek | Význam |
|---|---|
mode: testing | Odesílatelé doručují jako obvykle, ale problémy hlásí přes TLS-RPT. Tímto začínáte. |
mode: enforce | Odesílatelé doručují pouze přes šifrované spojení s platným certifikátem, na jeden z uvedených mailových serverů. Pokud se to nepodaří, pošta zůstává u odesílatele ve frontě. |
mode: none | Žádná zásada (již) neplatí. |
mx: | Název Vašeho mailového serveru, přesně jako ve Vašem MX záznamu. Máte li více MX záznamů, uveďte každý název na vlastním řádku. U balíčku WebOké jde obvykle o název serveru Vašeho balíčku, jak je uvedeno v příkladu; certifikát našeho mailového serveru je vystaven na tento název. Pokud Váš MX směřuje na Vaši vlastní doménu, certifikát k ní nemusí odpovídat a enforce byste neměli používat. |
max_age: | Jak dlouho si odesílatel smí zásadu pamatovat, v sekundách. 604800 je jeden týden. |
Odesílatel si zásadu pamatuje. MTA-STS proto nechrání při úplně prvním kontaktu odesílatele s Vámi, ale chrání při každém dalším.
TLS-RPT: zprávy o šifrování
Pomocí TLS-RPT žádáte odesílatele o denní zprávu o neúspěšném šifrování, například kvůli vypršenému certifikátu nebo názvu mailového serveru, který není uveden ve Vaší zásadě. Jde o jeden TXT záznam na názvu _smtp._tls:
_smtp._tls.vasedomena.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@vasedomena.nl"
Zprávy jsou technické soubory (JSON). Stejně jako u zpráv DMARC pro ně použijte samostatnou schránku. Viz Čtení zprávy DMARC.
Doporučené pořadí: nejprve TLS-RPT, poté MTA-STS v režimu testing, několik týdnů čtení zpráv a teprve poté enforce.
MTA-STS nebo DANE?
DANE řeší totéž jiným způsobem: otisk certifikátu Vašeho mailového serveru je uveden v DNS (TLSA záznam), zabezpečený pomocí DNSSEC. DANE chrání i úplně první spojení, ale funguje pouze pokud je zapnutý DNSSEC. MTA-STS DNSSEC nepotřebuje, ale vyžaduje web s certifikátem. Obě metody můžete použít souběžně; odesílatel, který podporuje DANE, pak dává přednost DANE.
Je li Vaše pošta u WebOké, můžete DANE zapnout v Mém WebOké na stejném místě jako DNSSEC. WebOké poté samo spravuje TLSA záznamy. Přečtěte si DNSSEC a DANE a Kontrolní seznam internet.nl: dosažení 100 % u vašeho webu a e mailu.
Potřebujete to?
Pro většinu zákazníků ne. Pošta mezi velkými mailovými servery se dnes téměř vždy šifruje, a pokud chcete svou poštu u WebOké dodatečně zabezpečit, nejjednodušším krokem je DANE. MTA-STS je užitečný zejména tehdy, pokud to předepisuje Vaše organizace, nebo pokud očekáváte příjemce, kteří používají MTA-STS, ale ne DANE. Pro vlastní odchozí poštu není potřeba nic nastavovat: to určuje server, který Vaši poštu odesílá.
Vlastní nastavení u hostingového balíčku
Oba TXT záznamy nastavíte ve Správě DNS v DirectAdmin nebo na záložce DNS v Mém WebOké. Viz Správa DNS záznamů v Mém WebOké (s příklady pro CNAME, TXT a externí služby).
Soubor se zásadou musí být umístěn na subdoméně mta-sts. Ve svém balíčku můžete tuto subdoménu vytvořit ve Správě subdomén; DirectAdmin pro ni poté sám požádá o SSL certifikát. Viz Vytváření a mazání subdomén a Certifikát pro www, subdomény a wildcard. Do adresáře subdomény umístěte složku .well-known, ve které bude soubor mta-sts.txt.
enforce. Pokud není správný název mailového serveru, nebo certifikát mailového serveru neodpovídá tomuto názvu, přestane Vám chodit pošta od odesílatelů, kteří dodržují MTA-STS. Soubor se zásadou musí být navíc přímo dostupný: odesílatelé nenásledují přesměrování na jinou adresu. Začněte s testing, přečtěte si zprávy TLS-RPT a v případě pochybností se nejprve obraťte na nás.Více informací: RFC 8461 (MTA-STS) a RFC 8460 (TLS-RPT).