MTA-STS i TLS-RPT ukratko objašnjeni
MTA-STS i TLS-RPT su dvije postavke za Vašu domenu koje se odnose na šifriranje pošte koja stiže k Vama. Susrest ćete ih u testovima poput internet.nl ili u izvještaju sigurnosne provjere. U ovom članku saznat ćete što rade, kako izgledaju i jesu li Vam potrebni. Kratak odgovor unaprijed: za većinu klijenata nisu potrebni.
Što rješava?
Kada poštanski server isporučuje poštu na poštanski server primatelja, veza se šifrira ako je to moguće (STARTTLS). Ako to ne uspije, pošta obično jednostavno putuje nešifrirano. Također se certifikat poštanskog servera primatelja često ne provjerava strogo. Netko tko može mijenjati promet usput može tako isključiti šifriranje ili preusmjeriti poštu na vlastiti server.
Pomoću MTA-STS kao primatelj poručujete: pošta za moju domenu mora uvijek biti šifrirana, i to samo prema ovim poštanskim serverima s valjanim certifikatom. Pošiljatelj koji podržava MTA-STS pridržava se toga.
Dva dijela MTA-STS-a
1. TXT zapis na nazivu _mta-sts, koji govori da postoje pravila:
_mta-sts.vasadomena.nl. TXT "v=STSv1; id=20261108T120000;"
id je broj verzije koji sami odabirete. Kada prilagodite pravila, promijenite i id, kako bi pošiljatelji dohvatili nova pravila.
2. Datoteka s pravilima na točno ovoj adresi, putem https s valjanim certifikatom:
https://mta-sts.vasadomena.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Redak | Značenje |
|---|---|
mode: testing | Pošiljatelji isporučuju kao i inače, ali prijavljuju probleme putem TLS-RPT-a. Ovime počinjete. |
mode: enforce | Pošiljatelji isporučuju samo putem šifrirane veze s valjanim certifikatom, prema jednom od navedenih poštanskih servera. Ako to ne uspije, pošta ostaje u redu čekanja kod pošiljatelja. |
mode: none | Pravila (više) ne postoje. |
mx: | Naziv Vašeg poštanskog servera, točno kao u Vašem MX zapisu. Ako imate više MX zapisa, svaki naziv stavite u poseban redak. Kod paketa WebOké to je obično naziv servera Vašeg paketa, kao u primjeru; certifikat našeg poštanskog servera izdan je na taj naziv. Ako Vaš MX pokazuje na vlastiti naziv domene, certifikat tamo možda ne odgovara i ne smijete koristiti enforce. |
max_age: | Koliko dugo pošiljatelj smije pamtiti pravila, u sekundama. 604800 je tjedan dana. |
Pošiljatelj pamti pravila. Zbog toga MTA-STS ne štiti pri prvom slanju pošte od nekog pošiljatelja, ali štiti nakon toga.
TLS-RPT: izvještaji o šifriranju
Pomoću TLS-RPT-a tražite od pošiljatelja dnevni izvještaj o neuspjelom šifriranju, primjerice zbog isteklog certifikata ili naziva poštanskog servera koji nije naveden u Vašim pravilima. Riječ je o jednom TXT zapisu na nazivu _smtp._tls:
_smtp._tls.vasadomena.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@vasadomena.nl"
Izvještaji su tehničke datoteke (JSON). Kao i kod DMARC izvještaja, koristite za njih zaseban poštanski sandučić. Pogledajte Čitanje DMARC izvještaja.
Redoslijed: prvo TLS-RPT, zatim MTA-STS na testing, nekoliko tjedana čitanja izvještaja, i tek nakon toga enforce.
MTA-STS ili DANE?
DANE radi isto, ali na drugačiji način: otisak certifikata Vašeg poštanskog servera nalazi se u DNS-u (TLSA zapis), zaštićen DNSSEC-om. DANE štiti i prvu vezu, ali radi samo ako je DNSSEC uključen. MTA-STS ne treba DNSSEC, ali treba web stranicu s certifikatom. Smijete ih koristiti usporedno; pošiljatelj koji podržava DANE tada daje prednost DANE-u.
Ako je Vaša pošta kod WebOké, DANE možete uključiti u Moj WebOké na istom mjestu kao i DNSSEC. WebOké zatim sam održava TLSA zapise. Pročitajte DNSSEC i DANE i Internet.nl popis za provjeru: postignite 100% za Vašu web stranicu i e-poštu.
Je li Vam potreban?
Za većinu klijenata nije. Pošta između velikih poštanskih servera danas se gotovo uvijek šifrira, a ako želite dodatno zaštititi svoju poštu kod WebOké, DANE je najjednostavniji korak. MTA-STS je korisan prije svega ako to propisuje Vaša organizacija, ili ako očekujete primatelje koji koriste MTA-STS, ali ne i DANE. Za vlastitu odlaznu poštu ništa ne morate postavljati: to određuje server koji šalje Vašu poštu.
Samostalno postavljanje kod paketa hostinga
Dva TXT zapisa postavljate u DNS Upravljanje unutar DirectAdmina ili na kartici DNS u Moj WebOké. Pogledajte Upravljanje DNS zapisima u Moj WebOké (s primjerima za CNAME, TXT i vanjske usluge).
Datoteka s pravilima mora se nalaziti na poddomeni mta-sts. U Vašem paketu tu poddomenu možete izraditi u Upravljanju poddomenama; DirectAdmin zatim sam za nju zatraži SSL certifikat. Pogledajte Izrada i brisanje poddomena i Certifikat za www, poddomene i wildcard. U mapi poddomene postavite mapu .well-known s datotekom mta-sts.txt unutar nje.
enforce. Ako naziv poštanskog servera nije ispravan, ili certifikat poštanskog servera ne odgovara tom nazivu, pošta više neće stizati od pošiljatelja koji se pridržavaju MTA-STS-a. Datoteka s pravilima mora se, osim toga, moći izravno otvoriti: pošiljatelji ne prate preusmjeravanje na drugu adresu. Počnite s testing, pročitajte TLS-RPT izvještaje, i u slučaju nedoumice prvo se obratite nama.Pozadina: RFC 8461 (MTA-STS) i RFC 8460 (TLS-RPT).