Brak rekordu TLS-RPT
Co to jest
TLS-RPT (RFC 8460) to rekord TXT _smtp._tls, który mówi obcym serwerom pocztowym, gdzie mają wysyłać raporty o nieudanych próbach dostarczenia Ci poczty szyfrowanym połączeniem. Raporty przychodzą zwykle raz dziennie jako skompresowany JSON.
Patrzyliśmy tylko na publiczny DNS. Widzimy, czy rekord jest opublikowany i użyteczny (jeden rekord, właściwa wersja, adres mailto: lub https:). Treści raportów nie widzimy.
Dlaczego to problem
Bez raportów nie wiesz, że nadawcy trafiają na błędy szyfrowania Twojej poczty. Najbardziej potrzebujesz ich przy wdrażaniu MTA-STS: pokazują, czy można bezpiecznie przełączyć na enforce.
- Sam rekord niczego nie chroni. Daje wgląd, a nie ochronę.
- To niski priorytet, ale jest za darmo i zajmuje pięć minut.
Jak to naprawić
1. Załóż skrzynkę na raporty
Na przykład tls-reports@example.pl. Raporty są maszynowe, więc nikt nie czyta ich ręcznie. Przyda się usługa, która je wyświetla, albo przynajmniej filtr, który odkłada je na bok.
2. Opublikuj rekord TXT
_smtp._tls.example.pl. TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.pl"Zamiast mailto: możesz użyć adresu https:, na który raporty trafiają metodą POST. Rekord musi być jeden. Przy dwóch odbiorcy je ignorują.
3. Sprawdź
dig +short TXT _smtp._tls.example.plPierwsze raporty przychodzą zwykle w ciągu dwóch dni.