[Schnelle Antwort]
MTA-STS (Mail Transfer Agent Strict Transport Security) zwingt andere Mailserver, E-Mails über verschlüsseltes, zertifikatsvalidiertes TLS an Ihre Domain zu senden. Sie veröffentlichen einen _mta-sts TXT Eintrag und eine Richtliniendatei unter https://mta-sts.yourdomain.com/.well-known/mta-sts.txt. Es ist in RFC 8461 definiert.
Wichtige Fakten
- ›DNS Eintrag: _mta-sts.yourdomain.com TXT v=STSv1; id=< eindeutige ID>.
- ›Die Richtliniendatei listet Version, Modus, MX und max_age auf.
- ›Modi: keine, testen, erzwingen.
- ›Die Richtlinie muss über HTTPS mit einem gültigen Zertifikat bereitgestellt werden.
- ݀ndern Sie den ID-Wert jedes Mal, wenn Sie die Richtlinie aktualisieren.
Bewertet vom EmailAuth Forschungsteam
SMTP Verschlüsselung mit STARTTLS ist opportunistisch: Wenn ein Angreifer das STARTTLS -Angebot entfernt, wird die E-Mail auf Klartext zurückgesetzt und niemand bemerkt es. MTA-STS kann Ihre Domain erklären, dass Absender TLS mit einem gültigen Zertifikat verwenden müssen oder überhaupt nicht zustellen müssen.
So richten Sie MTA-STS ein
- 1
Erstellen Sie die Richtliniendatei
Host https://mta-sts.yourdomain.com/.well-known/mta-sts.txt mit Version: STSv1, Modus: Testen, einer mx:-Zeile pro Mailserver und max_age: 604800.
- 2
Veröffentlichen Sie den DNS Eintrag
Fügen Sie einen TXT Eintrag unter _mta-sts.yourdomain.com mit v=STSv1; id=20261102.
- 3
TLS-RPT hinzufügen
Veröffentlichen Sie _smtp._tls.yourdomain.com mit v=TLSRPTv1; rua=mailto:tls@yourdomain.com um Fehlerberichte zu erhalten.
- 4
Bewegen Sie sich, um durchzusetzen
Nachdem in den Berichten eine saubere Zustellung angezeigt wird, ändern Sie den Modus, um die ID zu erzwingen und zu aktualisieren.
Das Hosten ist der schwierige Teil
Die Richtlinie benötigt einen HTTPS-Host mit einem gültigen Zertifikat. EmailAuth hostet MTA-STS für Sie über einen CNAME .
Häufig gestellte Fragen
Was ist MTA-STS ?
Ein Standard, der sendenden Servern mitteilt, dass Ihre Domain TLS Verschlüsselung mit einem gültigen Zertifikat erfordert, um Downgrade- und Man-in-the-Middle-Angriffe auf eingehende E-Mails zu verhindern.
Ist MTA-STS notwendig?
Sie ist für die Zustellung nicht erforderlich, aber ohne sie kann STARTTLS Verschlüsselung stillschweigend entfernt werden. Es wird von Sicherheits-Frameworks empfohlen und von Gmail , Microsoft und Yahoo unterstützt.
Wie richte ich MTA-STS ein?
Hosten Sie die Richtliniendatei unter mta-sts.yourdomain.com über HTTPS, veröffentlichen Sie den TXT Eintrag _mta-sts , fügen Sie TLS-RPT für die Berichterstellung hinzu, starten Sie im Testmodus und gehen Sie zur Durchsetzung über.
Was bedeutet die fehlende MTA-STS Richtlinie: STSFetchResult.NONE?
Die Überprüfungen von Microsoft konnten keinen gültigen MTA-STS Eintrag oder keine gültige Richtliniendatei für die Domäne finden. Veröffentlichen Sie beide und stellen Sie sicher, dass die Richtlinien-URL über HTTPS erreichbar ist.
Was ist der MTA-STS DNS Eintrag?
Ein TXT Eintrag unter _mta-sts.yourdomain.com mit dem Wert v=STSv1; id=20261102 (jede eindeutige ID).
[ MTA-STS Führung ]
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung