Mail an Sie kommt ohne MTA-STS an
Was das ist
MTA-STS (RFC 8461) ist eine Richtlinie, die fremden Mailservern sagt: „Liefere Mail für diese Domain nur verschlüsselt und nur an diese Server aus“. Sie besteht aus zwei Teilen: einem TXT-Eintrag _mta-sts im DNS und einer kleinen Textdatei auf Ihrem Webauftritt.
Wir haben nur das öffentliche DNS und diese öffentliche Richtliniendatei angesehen. Wir sehen nicht, welche Server Ihnen tatsächlich Mail schicken oder wie sie zugestellt wird.
Warum das ein Problem ist
E-Mail zwischen Servern wird „wenn möglich“ verschlüsselt. Ein Angreifer auf dem Weg kann die Verschlüsselung unterdrücken und die Mail lesen oder fälschen. Ohne MTA-STS merkt der Absender das nicht.
- Für ein kleines Unternehmen geht es um Rechnungen, Verträge und Passwort-Rücksetzungen, die per E-Mail laufen.
- Es ist nichts abgeflossen und die Mail funktioniert. Es fehlt ein Schutz, es gibt keinen aktiven Abfluss. Deshalb ist es eine Empfehlung.
- MTA-STS schützt Mail, die bei Ihnen ankommt. Ausgehende Mail betrifft es nicht.
So beheben Sie es
1. Ihre MX-Server ermitteln
dig +short MX example.de2. Die Richtliniendatei anlegen
Sie muss unter https://mta-sts.example.de/.well-known/mta-sts.txt erreichbar sein, mit gültigem Zertifikat, Antwort 200 ohne Weiterleitung und dem Typ text/plain. Beginnen Sie im Modus testing:
version: STSv1
mode: testing
mx: mail.example.de
max_age: 604800Es kann mehrere mx:-Zeilen geben, je eine pro MX-Server. Ein Platzhalter ist nur am Anfang des Namens erlaubt (*.example.de). max_age ist die Zeit in Sekunden, für die sich der Absender die Richtlinie merkt. 604800 ist eine Woche.
3. Den TXT-Eintrag veröffentlichen
_mta-sts.example.de. TXT "v=STSv1; id=20261109T000000"Die id ist eine beliebige Zeichenfolge. Ändern Sie sie bei jeder Änderung der Datei, sonst laden Absender die neue Fassung nicht neu.
4. Auf enforce umstellen
Nach einigen Wochen ohne Probleme (am besten mit Berichten aus TLS-RPT) ändern Sie mode: testing in mode: enforce und ändern die id.
Weitere Varianten dieses Befunds
Modus testing
Die Richtlinie ist eingerichtet, aber bei einem Fehler stellt der Absender die Mail trotzdem zu. Sie schützt noch nicht. Sind die Berichte sauber, stellen Sie auf enforce um.
max_age zu kurz
Die Richtlinie funktioniert, läuft aber schnell ab, und Absender müssen sie ständig neu laden. Setzen Sie mindestens eine Woche (max_age: 604800). Wir melden Werte unter einem Tag (86400).
MX-Server fehlt in der Richtlinie
Einer Ihrer MX-Server passt auf keine mx:-Zeile. Mail an ihn bleibt ungeschützt, und im Modus enforce verweigern Absender die Zustellung. Die mx:-Zeilen müssen jeden Server aus der Ausgabe von dig MX abdecken.
TXT-Eintrag ohne Richtlinie
Im DNS steht ein Eintrag _mta-sts, aber die Datei unter mta-sts.example.de konnte nicht geladen oder gelesen werden (Subdomain oder Zertifikat fehlt, falscher Inhaltstyp, falsches Format). Absender erhalten dann eine defekte Richtlinie. Korrigieren Sie die Datei oder löschen Sie den Eintrag.
Verweigert der Richtlinien-Host unsere Anfrage (401, 403, 429, 5xx oder eine Schutzabfrage von CDN oder Firewall), melden wir den Befund nicht. Wir können nicht feststellen, dass die Richtlinie fehlt, daher bleibt die Zeile in der Überwachung ungemessen. Die Datei muss ohne Login und ohne Bot-Prüfung öffentlich lesbar sein, sonst können auch Mail-Absender sie nicht laden.