Chybí záznam TLS-RPT
Co to je
TLS-RPT (RFC 8460) je TXT záznam _smtp._tls, který říká cizím poštovním serverům, kam vám mají posílat zprávy o tom, jak se jim nedaří doručit poštu šifrovaně. Reporty chodí obvykle jednou denně jako komprimovaný JSON.
Dívali jsme se jen na veřejné DNS. Vidíme, jestli je záznam publikovaný a použitelný (jeden záznam, správná verze, adresa mailto: nebo https:). Obsah reportů nevidíme.
Proč je to problém
Bez reportů nevíte, že odesílatelé narážejí na chyby se šifrováním vaší pošty. Hlavně je potřebujete při zavádění MTA-STS: ukážou, jestli je bezpečné přepnout na enforce.
- Samotný záznam nic nechrání. Dává přehled, ne ochranu.
- Je to nízká priorita, ale je to zdarma a hotové za pět minut.
Jak to opravit
1. Založte schránku pro reporty
Například tls-reports@example.cz. Reporty jsou strojové, takže je nikdo nečte ručně. Hodí se služba, která je zobrazí, nebo aspoň filtr, který je odkládá stranou.
2. Publikujte TXT záznam
_smtp._tls.example.cz. TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.cz"Místo mailto: jde použít i adresu https:, na kterou se reporty posílají metodou POST. Záznam musí být jeden. Při dvou záznamech je příjemci ignorují.
3. Ověřte
dig +short TXT _smtp._tls.example.czPrvní reporty dorazí obvykle do dvou dnů.