DANE
DNS-Based Authentication of Named Entities : la publication de l'empreinte du certificat d'un serveur mail dans des enregistrements TLSA signés par DNSSEC, pour que les expéditeurs puissent exiger et vérifier TLS.
Ce que cela signifie
DANE pour SMTP (RFC 7672) permet à un domaine destinataire d'annoncer, par le DNS, que ses hôtes MX prennent en charge TLS et quel certificat ou quelle clé ils utilisent. Le domaine signe sa zone avec DNSSEC et publie un enregistrement TLSA en _25._tcp pour chaque hôte MX. Un serveur d'envoi qui trouve un enregistrement TLSA validé doit utiliser STARTTLS et vérifier le certificat avec cet enregistrement ; si l'un des deux échoue, il ne livre pas.
C'est DNSSEC qui le rend digne de confiance : les enregistrements TLSA non signés sont ignorés. Pour SMTP, la RFC 7672 recommande les usages DANE-EE (3) et DANE-TA (2), qui ne demandent aucune autorité de certification publique.
Exchange Online prend en charge DANE pour les e-mails sortants et entrants, et ses codes d'échec figurent dans la plage 5.7.32x de Microsoft.
Exemple
_25._tcp.mx1.example.com. IN TLSA 3 1 1 0f8b...c6a2Termes associés
Sur ce site
Sources
Ce sur quoi repose cette définition. La formulation est la nôtre ; les faits sont les leurs.
- RFC 7672: SMTP Security via Opportunistic DANE TLSrfc-editor.org
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSArfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Les 432 termes du glossaireLe wiki : blacklists et codes de bounce