MTA-STS ja TLS-RPT lyhyesti selitettynä
MTA-STS ja TLS-RPT ovat kaksi verkkotunnuksesi asetusta, jotka liittyvät sinulle saapuvan sähköpostin salaukseen. Niitä näkee testeissä kuten internet.nl tai tietoturvaskannauksen raportissa. Tässä artikkelissa kerrotaan, mitä ne tekevät, miltä ne näyttävät ja tarvitseeko sinun käyttää niitä. Lyhyt vastaus etukäteen: useimmille asiakkaille ne eivät ole tarpeen.
Mitä ongelmaa se ratkaisee?
Kun sähköpostipalvelin toimittaa viestin vastaanottajan sähköpostipalvelimelle, yhteys salataan mahdollisuuksien mukaan (STARTTLS). Jos tämä ei onnistu, viesti lähetetään yleensä silti salaamattomana. Vastaanottavan palvelimen varmennetta ei myöskään useinkaan tarkisteta tiukasti. Joku, joka pystyy muokkaamaan liikennettä matkan varrella, voi näin poistaa salauksen käytöstä tai ohjata viestin omalle palvelimelleen.
MTA-STS:n avulla ilmoitat vastaanottajana: verkkotunnukselleni lähetettävän sähköpostin on aina oltava salattu, ja se saa toimittaa viestit vain näille sähköpostipalvelimille kelvollisella varmenteella. Lähettäjä, joka tukee MTA-STS:ää, noudattaa tätä.
MTA-STS:n kaksi osaa
1. TXT-tietue nimellä _mta-sts, joka kertoo, että käytössä on käytäntö:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
id on versionumero, jonka valitset itse. Kun muutat käytäntöä, muuta myös id-arvoa, jotta lähettäjät hakevat uuden käytännön.
2. Käytäntötiedosto, joka sijaitsee täsmälleen tässä osoitteessa, https-yhteyden kautta kelvollisella varmenteella:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Rivi | Merkitys |
|---|---|
mode: testing | Lähettäjät toimittavat viestit kuten ennenkin, mutta ilmoittavat ongelmista TLS-RPT:n kautta. Tästä kannattaa aloittaa. |
mode: enforce | Lähettäjät toimittavat viestit vain salatun yhteyden kautta kelvollisella varmenteella, jollekin mainituista sähköpostipalvelimista. Jos tämä ei onnistu, viesti jää jonoon lähettäjän puolelle. |
mode: none | Käytäntöä ei ole (enää). |
mx: | Sähköpostipalvelimesi nimi, täsmälleen samanlaisena kuin MX-tietueessasi. Jos sinulla on useampi MX-tietue, jokainen nimi tulee omalle rivilleen. WebOké-paketissa tämä on yleensä paketin palvelimen nimi, kuten esimerkissä; palvelimemme varmenne on rekisteröity tälle nimelle. Jos MX osoittaa omaan verkkotunnukseesi, varmenne ei välttämättä vastaa sitä, eikä tällöin pidä käyttää enforce-tilaa. |
max_age: | Kuinka kauan lähettäjä saa muistaa käytännön, sekunteina. 604800 on viikko. |
Lähettäjä muistaa käytännön. Tämän vuoksi MTA-STS ei suojaa aivan ensimmäistä kertaa, kun lähettäjä lähettää sinulle sähköpostia, mutta suojaa sen jälkeen.
TLS-RPT: raportit salauksesta
TLS-RPT:n avulla pyydät lähettäjiltä päivittäisen raportin epäonnistuneesta salauksesta, esimerkiksi vanhentuneen varmenteen tai käytännössäsi mainitsemattoman sähköpostipalvelimen nimen vuoksi. Kyseessä on yksi TXT-tietue nimellä _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Raportit ovat teknisiä tiedostoja (JSON). Käytä niille samalla tavoin kuin DMARC-raporteille erillistä postilaatikkoa. Katso DMARC-raportin lukeminen.
Järjestys: ensin TLS-RPT, sitten MTA-STS tilassa testing, muutama viikko raporttien lukemista, ja vasta sen jälkeen enforce.
MTA-STS vai DANE?
DANE tekee saman asian eri tavalla: sähköpostipalvelimesi varmenteen sormenjälki tallennetaan DNS:ään (TLSA-tietue), suojattuna DNSSEC:llä. DANE suojaa myös ensimmäisen yhteyden, mutta toimii vain, jos DNSSEC on käytössä. MTA-STS ei tarvitse DNSSEC:iä, mutta vaatii verkkosivuston, jolla on varmenne. Niitä voi käyttää rinnakkain; lähettäjä, joka tukee DANE:a, antaa silloin sille etusijan.
Jos sähköpostisi on WebOké:ssä, voit ottaa DANE:n käyttöön Oma WebOké:ssa samassa paikassa kuin DNSSEC:n. WebOké pitää sen jälkeen itse huolta TLSA-tietueista. Lue DNSSEC ja DANE ja Internet.nl-tarkistuslista: 100% tulos verkkosivustollesi ja sähköpostillesi.
Tarvitsetko sitä?
Useimmille asiakkaille ei. Isojen sähköpostipalvelimien väliset viestit salataan nykyään lähes aina, ja jos haluat suojata sähköpostisi entisestään WebOké:ssa, DANE on yksinkertaisin vaihtoehto. MTA-STS on hyödyllinen etenkin silloin, jos organisaatiosi vaatii sitä, tai jos odotat vastaanottajia, jotka käyttävät MTA-STS:ää mutta eivät DANE:a. Omaa lähtevää sähköpostiasi varten ei tarvitse asettaa mitään: sen määrää palvelin, joka lähettää viestisi.
Itse käyttöönotto hostingpaketissa
Kaksi TXT-tietuetta lisätään DNS Beheer:ssä DirectAdminissa tai DNS-välilehdellä Oma WebOké:ssa. Katso DNS-tietueiden hallinta Oma WebOké:ssa (esimerkkejä CNAME-, TXT- ja ulkoisille palveluille).
Käytäntötiedoston on sijaittava alidomainissa mta-sts. Paketissasi voit luoda tämän alidomainin Subdomein Beheer:ssä; DirectAdmin hakee sille silloin itse SSL-varmenteen. Katso Alidomainien luominen ja poistaminen ja Varmenne www:lle, alidomaineille ja wildcardille. Alidomainin kansioon luodaan kansio .well-known, johon laitetaan tiedosto mta-sts.txt.
enforce. Jos sähköpostipalvelimen nimi on väärin, tai palvelimen varmenne ei vastaa kyseistä nimeä, lähettäjät, jotka noudattavat MTA-STS:ää, eivät enää pysty toimittamaan sinulle sähköpostia. Käytäntötiedoston on lisäksi oltava avattavissa suoraan: lähettäjät eivät seuraa uudelleenohjausta toiseen osoitteeseen. Aloita tilalla testing, lue TLS-RPT-raportit ja ota epäselvissä tilanteissa ensin yhteyttä meihin.Taustatietoa: RFC 8461 (MTA-STS) ja RFC 8460 (TLS-RPT).