DANE
DNS-Based Authentication of Named Entities: publicar la huella del certificado de un servidor de correo en registros TLSA firmados con DNSSEC para que los remitentes puedan exigir y verificar TLS.
Qué significa
DANE para SMTP (RFC 7672) permite que un dominio receptor anuncie, mediante el DNS, que sus hosts MX soportan TLS y qué certificado o clave usan. El dominio firma su zona con DNSSEC y publica un registro TLSA en _25._tcp por cada host MX. Un servidor de envío que encuentra un registro TLSA validado debe usar STARTTLS y debe comprobar el certificado contra él; si alguna de las dos cosas falla, no entrega.
DNSSEC es lo que lo hace confiable: los registros TLSA sin firmar se ignoran. Para SMTP, el RFC 7672 recomienda los usos DANE-EE (3) y DANE-TA (2), así que no se necesita ninguna autoridad de certificación pública.
Exchange Online soporta DANE para el correo saliente y entrante, y sus códigos de fallo aparecen en el rango 5.7.32x de Microsoft.
Ejemplo
_25._tcp.mx1.example.com. IN TLSA 3 1 1 0f8b...c6a2Términos relacionados
En este sitio
Fuentes
En qué se basa esta definición. La redacción es nuestra; los hechos son de las fuentes.
- RFC 7672: SMTP Security via Opportunistic DANE TLSrfc-editor.org
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSArfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Los 432 términos del glosarioLa wiki: blacklists y códigos de rebote