MTA-STS a TLS-RPT stručne vysvetlené
MTA-STS a TLS-RPT sú dve nastavenia pre vašu doménu, ktoré sa týkajú šifrovania pošty, ktorá vám prichádza. Stretnete sa s nimi v testoch, ako je internet.nl, alebo v správe z bezpečnostného skenovania. V tomto článku sa dozviete, čo robia, ako vyzerajú a či ich potrebujete. Krátka odpoveď vopred: pre väčšinu zákazníkov to nie je potrebné.
Čo rieši?
Keď mailový server doručuje poštu na mailový server príjemcu, šifruje spojenie, ak je to možné (STARTTLS). Ak to nie je možné, pošta sa väčšinou odošle jednoducho nešifrovane. Certifikát prijímajúceho servera sa navyše často prísne nekontroluje. Niekto, kto dokáže upraviť prenos po ceste, môže takto šifrovanie vypnúť alebo presmerovať poštu na vlastný server.
Pomocou MTA-STS ako príjemca oznámite: pošta na moju doménu musí byť vždy šifrovaná, a to iba na tieto mailové servery s platným certifikátom. Odosielateľ, ktorý podporuje MTA-STS, sa tým riadi.
Dve časti MTA-STS
1. TXT záznam na názve _mta-sts, ktorý hovorí, že existuje zásada:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
id je číslo verzie, ktoré si zvolíte sami. Ak zásadu upravíte, zmeňte aj id, aby si odosielatelia stiahli novú zásadu.
2. Súbor so zásadou presne na tejto adrese, cez https s platným certifikátom:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Riadok | Význam |
|---|---|
mode: testing | Odosielatelia doručujú poštu ako doteraz, ale problémy hlásia cez TLS-RPT. Týmto začínate. |
mode: enforce | Odosielatelia doručujú poštu iba cez šifrované spojenie s platným certifikátom, na jeden z uvedených mailových serverov. Ak sa to nepodarí, pošta zostáva u odosielateľa vo fronte. |
mode: none | Zásada (už) neexistuje. |
mx: | Názov vášho mailového servera presne tak, ako je uvedený vo vašom MX zázname. Ak máte viac MX záznamov, uveďte každý názov na samostatný riadok. Pri balíčku WebOké je to väčšinou názov servera vášho balíčka, ako v príklade; certifikát nášho mailového servera je vystavený na tento názov. Ak váš MX smeruje na vlastný názov domény, certifikát k nemu pravdepodobne nebude pasovať a nesmiete použiť enforce. |
max_age: | Ako dlho si odosielateľ môže zásadu zapamätať, v sekundách. 604800 je týždeň. |
Odosielateľ si zásadu zapamätá. Preto MTA-STS nechráni pri úplne prvom kontakte, keď vám odosielateľ pošle poštu, ale pri ďalších áno.
TLS-RPT: správy o šifrovaní
Pomocou TLS-RPT žiadate odosielateľov o dennú správu o neúspešnom šifrovaní, napríklad kvôli vypršanému certifikátu alebo názvu mailového servera, ktorý nie je uvedený vo vašej zásade. Ide o jeden TXT záznam na názve _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Správy sú technické súbory (JSON). Podobne ako pri DMARC správach na ne použite samostatnú schránku. Pozrite si Čítanie DMARC správy.
Poradie: najprv TLS-RPT, potom MTA-STS v režime testing, niekoľko týždňov čítajte správy, a až potom enforce.
MTA-STS alebo DANE?
DANE robí to isté iným spôsobom: odtlačok certifikátu vášho mailového servera je uvedený v DNS (záznam TLSA), zabezpečený pomocou DNSSEC. DANE chráni aj úplne prvé spojenie, ale funguje iba vtedy, keď je zapnutý DNSSEC. MTA-STS nepotrebuje DNSSEC, ale potrebuje webovú stránku s certifikátom. Môžete ich používať súčasne; odosielateľ, ktorý podporuje DANE, dá vtedy prednosť DANE.
Ak máte poštu u WebOké, môžete DANE zapnúť v Môj WebOké na rovnakom mieste ako DNSSEC. WebOké potom TLSA záznamy spravuje samo. Prečítajte si DNSSEC a DANE a Kontrolný zoznam internet.nl: dosiahnuť 100 % na vašej webovej stránke a e-maile.
Potrebujete to?
Pre väčšinu zákazníkov nie. Pošta medzi veľkými mailovými servermi sa dnes takmer vždy šifruje, a ak chcete svoju poštu u WebOké dodatočne chrániť, najjednoduchším krokom je DANE. MTA-STS je užitočné najmä vtedy, keď to predpisuje vaša organizácia, alebo ak očakávate príjemcov, ktorí používajú MTA-STS, ale nie DANE. Pre vlastnú odchádzajúcu poštu nemusíte nič nastavovať: to určuje server, ktorý vašu poštu odosiela.
Vlastné nastavenie pri hostingovom balíčku
Oba TXT záznamy nastavíte v DNS Management v DirectAdmin alebo na karte DNS v Môj WebOké. Pozrite si Správa DNS záznamov v Môj WebOké (s príkladmi pre CNAME, TXT a externé služby).
Súbor so zásadou musí byť na subdoméne mta-sts. Vo vašom balíčku môžete túto subdoménu vytvoriť v Subdomain Management; DirectAdmin si pre ňu potom sám vyžiada SSL certifikát. Pozrite si Vytváranie a odstraňovanie subdomén a Certifikát pre www, subdomény a wildcard. Do priečinka subdomény umiestnite priečinok .well-known, v ktorom bude súbor mta-sts.txt.
enforce. Ak názov mailového servera nie je správny, alebo ak certifikát mailového servera nezodpovedá tomuto názvu, odosielatelia, ktorí dodržiavajú MTA-STS, vám prestanú doručovať poštu. Súbor so zásadou musí byť navyše možné otvoriť priamo: odosielatelia nesledujú presmerovanie na inú adresu. Začnite s testing, prečítajte si správy TLS-RPT, a v prípade pochybností sa najprv obráťte na nás.Pozadie: RFC 8461 (MTA-STS) a RFC 8460 (TLS-RPT).