Was ist MTA-STS?
Mit MTA-STS (RFC 8461) weist eine Domain sendende Server an, ihre Mail nur über TLS, mit gültigem Zertifikat, an die von ihr benannten MX-Hosts zuzustellen. Es besteht aus zwei Teilen: einem TXT-Eintrag unter _mta-sts.ihredomain mit einer Richtlinien-ID und einer Richtliniendatei, die per https unter mta-sts.ihredomain/.well-known/mta-sts.txt ausgeliefert wird.
Das Ergebnis lesen
Das Tool liest den Eintrag und ruft dann die Richtliniendatei ab. Sie sehen die ID, den Modus (enforce, testing oder none), die MX-Muster, die die Richtlinie erlaubt, und max_age, also wie lange Absender sie zwischenspeichern dürfen. Ein Eintrag, dessen Richtliniendatei sich nicht abrufen lässt, wird als Fehler gemeldet.
Beat läuft auf derselben Engine, nach Zeitplan, über alle 41 Prüfungen und 25 Blacklists. Was Beat hinzufügt: immer wieder nachfragen, bemerken, wenn sich eine Antwort ändert, und Ihnen sagen, was zu tun ist.
Häufige MTA-STS-Probleme
Eine Richtliniendatei, die sich nicht abrufen lässt
Die Datei muss per https von mta-sts.ihredomain ausgeliefert werden, mit einem gültigen Zertifikat für diesen Namen. Eine fehlende Subdomain, ein 404 oder ein fehlerhaftes Zertifikat lässt den Eintrag ins Leere zeigen.
Modus auf testing
Absender melden TLS-Probleme an die Adresse in Ihrem TLS-RPT-Eintrag (RFC 8460) und stellen trotzdem zu. Mit testing fängt man an, es schützt aber nichts, bis Sie auf enforce umstellen.
Ein MX, den die Richtlinie nicht aufführt
Im Modus enforce verweigern Absender die Zustellung an einen MX-Host, der zu keiner der mx:-Zeilen der Richtlinie passt. Wer den Mail-Provider wechselt, ohne die Richtlinie anzupassen, stoppt eingehende Mail.
Eine geänderte Richtlinie mit derselben ID
Absender speichern die Richtlinie zwischen und rufen sie erst wieder ab, wenn sich die ID im TXT-Eintrag ändert. Ändern Sie die Datei, ohne die ID zu ändern, nutzen sie die alte weiter, bis max_age abläuft.