TLS-RPT-Eintrag fehlt
Was das ist
TLS-RPT (RFC 8460) ist ein TXT-Eintrag _smtp._tls, der fremden Mailservern sagt, wohin sie Berichte über gescheiterte verschlüsselte Zustellungen an Sie schicken sollen. Die Berichte kommen meist einmal täglich als komprimiertes JSON.
Wir haben nur das öffentliche DNS angesehen. Wir sehen, ob der Eintrag veröffentlicht und brauchbar ist (ein Eintrag, richtige Version, eine Adresse mit mailto: oder https:). Den Inhalt der Berichte sehen wir nicht.
Warum das ein Problem ist
Ohne Berichte wissen Sie nicht, dass Absender bei Ihrer Mail auf Verschlüsselungsfehler stoßen. Am nötigsten brauchen Sie sie bei der Einführung von MTA-STS: Sie zeigen, ob die Umstellung auf enforce sicher ist.
- Der Eintrag schützt für sich nichts. Er gibt Einblick, keinen Schutz.
- Die Priorität ist niedrig, aber es kostet nichts und ist in fünf Minuten erledigt.
So beheben Sie es
1. Ein Postfach für die Berichte anlegen
Zum Beispiel tls-reports@example.de. Die Berichte sind maschinell, niemand liest sie von Hand. Hilfreich ist ein Dienst, der sie darstellt, oder wenigstens ein Filter, der sie beiseitelegt.
2. Den TXT-Eintrag veröffentlichen
_smtp._tls.example.de. TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.de"Statt mailto: geht auch eine https:-Adresse, die die Berichte per POST erhält. Es darf nur ein Eintrag existieren. Bei zwei Einträgen ignorieren Empfänger sie.
3. Prüfen
dig +short TXT _smtp._tls.example.deDie ersten Berichte kommen meist innerhalb von zwei Tagen.