Controleer uw MTA-STS-configuratie

Voer uw domein in om zowel het DNS-record als het beleidsbestand dat op uw domein wordt gehost te controleren.

Wat is MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security) is een e-mailbeveiligingsstandaard, gedefinieerd in RFC 8461, waarmee domeinen kunnen verklaren dat ze TLS-encryptie voor inkomende e-mail ondersteunen en dat verzendende servers moeten weigeren berichten over onversleutelde verbindingen te bezorgen.

Zonder MTA-STS kan e-mail tussen servers worden onderschept via man-in-the-middle-aanvallen die de TLS-encryptie verwijderen - zelfs als beide servers deze ondersteunen. Dit heet een TLS-downgrade-aanval. MTA-STS voorkomt dit door verzendende servers te vertellen TLS te vereisen en het certificaat te valideren.

MTA-STS heeft twee onderdelen: een DNS TXT-record op _mta-sts.yourdomain.com en een beleidsbestand dat wordt gehost op https://mta-sts.yourdomain.com/.well-known/mta-sts.txt.

Beleidsconfiguratie

MTA-STS-beleidsmodi

enforce

Mail die niet over een geldige TLS-verbinding kan worden bezorgd, wordt geweigerd. Dit is de strengste modus en biedt maximale bescherming tegen downgrade-aanvallen.

testing

TLS-fouten worden gerapporteerd via TLS-RPT, maar mail wordt nog steeds bezorgd. Ideaal voor de eerste uitrol om problemen te identificeren voordat u gaat afdwingen.

none

MTA-STS is feitelijk uitgeschakeld. Er wordt geen TLS-vereiste aan verzendende servers gecommuniceerd. Wordt gebruikt om een eerder gepubliceerd beleid te deactiveren.

Stap voor stap

Hoe MTA-STS werkt

DNS-ontdekking

De verzendende server bevraagt _mta-sts.yourdomain.com voor een TXT-record met v=STSv1; id=20240101.

Beleid ophalen

Als het TXT-record bestaat, haalt de verzender het beleidsbestand op van https://mta-sts.yourdomain.com/.well-known/mta-sts.txt via HTTPS.

TLS-afdwinging

Afhankelijk van de beleidsmodus dwingt de verzender TLS af (fouten weigeren), rapporteert fouten (testing-modus) of doet niets (none-modus).

MX-validatie

Het beleidsbestand geeft aan welke MX-hosts geldig zijn. De verzender verifieert dat het certificaat van de MX-server overeenkomt met een van de geautoriseerde hosts voordat er wordt bezorgd.

RFC 8461-referentie

MTA-STS is gedefinieerd in RFC 8461 (september 2018). Het vormt een aanvulling op RFC 8460 (SMTP TLS Reporting), die inzicht biedt in TLS-verbindingsfouten.

Voorbeeld MTA-STS-beleidsbestand:

version: STSv1
mode: enforce
mx: mail.example.com
mx: *.example.com
max_age: 604800

Uw resultaten lezen

Uw MTA-STS-controle begrijpen

MTA-STS is ongewoon onder de e-mailrecords omdat het op twee plekken tegelijk leeft - een DNS-record en een op het web gehost beleidsbestand - en beide moeten overeenkomen. Daarom zijn de meeste MTA-STS-problemen configuratieconflicten in plaats van ontbrekende records.

Wat de checker valideert

Een volledige controle bevestigt dat vier zaken op één lijn liggen: het _mta-sts TXT-record bestaat en bevat een geldige id, het beleidsbestand is bereikbaar over HTTPS op mta-sts.yourdomain.com/.well-known/mta-sts.txt met een vertrouwd certificaat, de mode van het beleid is wat u bedoelt, en de mx-hosts die het opsomt komen daadwerkelijk overeen met uw gepubliceerde MX-records. Klopt er één niet, dan kunnen verzendende servers uw beleid niet afdwingen.

Veelvoorkomende MTA-STS-fouten

TXT-record maar geen beleidsbestand. Het DNS-record verwijst naar een beleid dat niet wordt geserveerd - verzenders vallen terug op geen afdwinging.
Beleidsbestand niet over geldige HTTPS. Het mta-sts-subdomein heeft zijn eigen vertrouwde TLS-certificaat nodig; een zelfondertekend of verlopen certificaat laat het ophalen mislukken.
MX-conflict. De mx-regels in het beleid komen niet overeen met uw echte MX-hosts, waardoor geldige mailservers falen bij de certificaatvalidatie.
Blijft hangen in testing of none. Het beleid is gepubliceerd maar dwingt niet daadwerkelijk TLS af.
Ongewijzigde id. Na het bewerken van het beleid moet de id van het DNS-record veranderen, anders behouden verzenders de gecachete oude versie.

Veilig uitrollen: testing vóór enforce

Rol MTA-STS in fasen uit. Publiceer eerst met mode: testing en combineer dit met TLS-RPT zodat u rapporten van eventuele TLS-fouten ontvangt zonder mail te blokkeren. Zodra de rapporten schoon zijn en uw MX-lijst is bevestigd, schakelt u over naar mode: enforce. Stel een redelijke max_age in (een week is gebruikelijk) zodat verzenders het beleid cachen maar wijzigingen binnen een verstandig venster oppikken.

MTA-STS en TLS-RPT werken samen

MTA-STS dwingt versleutelde bezorging af; TLS-RPT (RFC 8460) geeft u het inzicht om die afdwinging te vertrouwen. Zonder rapportage dwingt u blind af - rol beide samen uit zodat een kapot certificaat als een rapport opduikt in plaats van als stilletjes weggebounde mail.

Waar MTA-STS in uw e-mailstack past

MTA-STS beveiligt inkomende mail tijdens transport, maar het authenticeert geen verzenders - dat is de taak van SPF, DKIM en DMARC aan de uitgaande kant. Voer de volledige domeinauthenticatie-checker uit om ze allemaal tegelijk te zien, en houd uw SPF-record geldig en onder de limiet van 10 lookups met AutoSPF, zodat de authenticatiehelft van uw stack net zo solide is als de encryptiehelft. Vraagt u zich af waarom u SPF regelmatig zou controleren, dan is afwijking door nieuwe verzenders de reden.

Maak uw e-mailbeveiligingsstack compleet

MTA-STS beschermt inkomende TLS. AutoSPF beschermt uw uitgaande SPF - door records automatisch te flattenen zodat u binnen de limiet van 10 lookups blijft.

Start gratis proefperiode→Bekijk abonnementen en prijzen

Gratis MTA-STS -checker