TLS-Profil (Oberfläche → Configuration → Configuration → TLS):
- Setzen Sie das Minimum auf TLSv1.2. Deaktivieren Sie TLSv1.0/1.1.
- Cipher Suites: Wählen Sie Intermediate (Profil des Mozilla SSL Config Generator). Modern bricht zu viele ältere Relays.
MTA-STS (RFC 8461): teilt mit, dass Ihre Domain für eingehende Mail TLS verlangt. Zwei Bestandteile:
- DNS-TXT-Eintrag unter
_mta-sts.example.com:
v=STSv1; id=20260101;
Erhöhen Sie id= bei jeder Änderung der Richtlinie.
- Richtliniendatei unter
https://mta-sts.example.com/.well-known/mta-sts.txt:
version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800
TLS-RPT ergänzt MTA-STS. Es ist ein DNS-TXT-Eintrag unter _smtp._tls.example.com, der auf ein Postfach für Berichte zeigt. Sie erhalten JSON-Berichte, wenn entfernte Absender beim TLS-Aufbau zu Ihnen scheitern.
Starten Sie zwei Wochen lang mit mode: testing und wechseln Sie zu enforce, sobald TLS-RPT keine Fehler mehr zeigt.
Melden Sie sich an, um festzuhalten, was Sie gelesen haben.