MTA-STS ja TLS-RPT lühidalt selgitatud
MTA-STS ja TLS-RPT on kaks sinu domeeni seadistust, mis puudutavad sulle saabuva kirjavahetuse krüpteerimist. Nendega puutud kokku testides, nagu internet.nl, või turvaskaneeringu aruandes. Sellest artiklist loed, mida need teevad, kuidas need välja näevad ja kas sa neid vajad. Lühike vastus ette ära: enamiku klientide jaoks pole see vajalik.
Mida see lahendab?
Kui meiliserver toimetab kirja kohale vastuvõtja meiliserverisse, krüpteerivad nad ühenduse, kui see on võimalik (STARTTLS). Kui see ei õnnestu, läheb kiri tavaliselt lihtsalt krüpteerimata kujul edasi. Samuti ei kontrollita vastuvõtva serveri sertifikaati tihti rangelt. Keegi, kes saab liiklust teel muuta, saab krüpteerimise sel moel välja lülitada või kirja suunata omaenda serverisse.
MTA-STS abil annad vastuvõtjana teada: minu domeenile saadetav kiri peab alati olema krüpteeritud ja saadetud ainult nendesse meiliserveritesse, millel on kehtiv sertifikaat. Saatja, kes toetab MTA-STS-i, peab sellest kinni.
MTA-STS kaks osa
1. TXT-kirje nimega _mta-sts, mis näitab, et reeglistik on olemas:
_mta-sts.sinudomeen.nl. TXT "v=STSv1; id=20261108T120000;"
id on versiooninumber, mille valid ise. Kui muudad reeglistikku, muuda ka id-d, et saatjad laadiksid uue reeglistiku.
2. Reeglistiku fail täpselt sellel aadressil, https kaudu kehtiva sertifikaadiga:
https://mta-sts.sinudomeen.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Rida | Tähendus |
|---|---|
mode: testing | Saatjad toimetavad kirja kohale nagu alati, kuid teatavad probleemidest TLS-RPT kaudu. Sellest alusta. |
mode: enforce | Saatjad toimetavad kirja kohale ainult krüpteeritud ühenduse kaudu kehtiva sertifikaadiga, ühte nimetatud meiliserveritest. Kui see ei õnnestu, jääb kiri saatja juures järjekorda ootama. |
mode: none | Reeglistikku pole (enam). |
mx: | Sinu meiliserveri nimi, täpselt nagu su MX-kirjes. Kui sul on mitu MX-kirjet, pane iga nimi eraldi reale. WebOké paketi puhul on see tavaliselt su paketi serverinimi, nagu näites, meie meiliserveri sertifikaat on väljastatud selle nime peale. Kui su MX osutab sinu enda domeeninimele, ei pruugi sertifikaat sellega sobida ja sa ei tohi kasutada enforce-režiimi. |
max_age: | Kui kaua tohib saatja reeglistikku meeles pidada, sekundites. 604800 on nädal. |
Saatja jätab reeglistiku meelde. Seetõttu ei kaitse MTA-STS esimest korda, kui saatja sulle kirja saadab, kuid küll igal järgneval korral.
TLS-RPT: aruanded krüpteerimise kohta
TLS-RPT abil palud saatjatelt igapäevast aruannet ebaõnnestunud krüpteerimise kohta, näiteks aegunud sertifikaadi või reeglistikus puuduva meiliserverinime tõttu. See on üks TXT-kirje nimega _smtp._tls:
_smtp._tls.sinudomeen.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@sinudomeen.nl"
Aruanded on tehnilised failid (JSON). Kasuta nende jaoks, nagu DMARC-aruannete puhulgi, eraldi postkasti. Vaata DMARC-aruande lugemine.
Järjekord: kõigepealt TLS-RPT, siis MTA-STS režiimis testing, loe mõni nädal aruandeid ja alles seejärel enforce.
MTA-STS või DANE?
DANE teeb sama asja teistmoodi: sinu meiliserveri sertifikaadi sõrmejälg on DNS-is (TLSA-kirje), kaitstud DNSSEC-iga. DANE kaitseb ka esimest ühendust, kuid töötab ainult siis, kui DNSSEC on sisse lülitatud. MTA-STS ei vaja DNSSEC-i, kuid vajab veebisaiti kehtiva sertifikaadiga. Neid tohib kasutada koos, saatja, kes toetab DANE-t, eelistab siis DANE-t.
Kui su kirjavahetus asub WebOkés, saad DANE sisse lülitada Minu WebOké samas kohas kui DNSSEC-i. WebOké hoiab seejärel TLSA-kirjeid ise korras. Loe DNSSEC ja DANE ning Internet.nl kontrollnimekiri: saavuta 100% oma veebisaidi ja e-postiga.
Kas sa seda vajad?
Enamikule klientidele mitte. Suurte meiliserverite vaheline kirjavahetus on tänapäeval peaaegu alati krüpteeritud ja kui soovid oma kirjavahetust WebKokés lisaks kaitsta, on DANE lihtsaim samm. MTA-STS on kasulik eelkõige siis, kui su organisatsioon seda ette kirjutab või kui ootad vastuvõtjaid, kes kasutavad MTA-STS-i, kuid mitte DANE-t. Oma väljuva kirjavahetuse jaoks ei pea sa midagi seadistama: selle määrab server, mis sinu kirja saadab.
Ise seadistamine majutuspaketis
Kaks TXT-kirjet lisad DNS Beheer alt DirectAdminis või Minu WebOké DNS-i vahekaardilt. Vaata DNS-kirjete haldamine Minu WebKokés (näidetega CNAME, TXT ja väliste teenuste jaoks).
Reeglistiku fail peab asuma alamdomeenis mta-sts. Sinu paketis saad selle alamdomeeni luua alamdomeenide halduses, DirectAdmin taotleb siis selle jaoks ise SSL-sertifikaadi. Vaata Alamdomeenide loomine ja kustutamine ning Sertifikaat www, alamdomeenide ja jokermärgi jaoks. Alamdomeeni kausta lisad kausta .well-known, kuhu paned faili mta-sts.txt.
enforce. Kui meiliserveri nimi on vale või meiliserveri sertifikaat ei sobi selle nimega, ei jõua enam ükski kiri kohale saatjatelt, kes järgivad MTA-STS-i. Reeglistiku fail peab lisaks olema otse avatav: saatjad ei järgi ümbersuunamist teisele aadressile. Alusta režiimist testing, loe TLS-RPT aruandeid ja kahtluse korral võta kõigepealt meiega ühendust.Taustainfo: RFC 8461 (MTA-STS) ja RFC 8460 (TLS-RPT).