Enregistrement TLSA
L'enregistrement DNS utilisé par DANE qui lie un certificat TLS ou une clé publique à un service, publié à un nom comme _25._tcp.mx.example.com.
Ce que cela signifie
Un enregistrement TLSA contient trois nombres et les données d'association. Usage du certificat : 0 et 1 s'appuient sur des autorités de certification publiques, 2 (DANE-TA) désigne une ancre de confiance, 3 (DANE-EE) épingle le certificat ou la clé du serveur lui-même. Sélecteur : 0 pour le certificat complet, 1 pour la clé publique seule. Type de correspondance : 0 pour les données exactes, 1 pour un hachage SHA-256, 2 pour SHA-512.
La RFC 7671 recommande 3 1 1 (le hachage SHA-256 de la clé publique du serveur) pour la plupart des sites, car l'enregistrement n'a pas à changer quand un certificat est renouvelé avec la même clé. La RFC 7672 indique que les enregistrements TLSA du port 25 ne doivent pas utiliser les usages 0 ou 1.
L'enregistrement ne compte que si la zone est signée par DNSSEC. Mettez-le à jour avant de changer de clé, sinon les expéditeurs qui valident DANE refuseront de livrer.
Exemple
_25._tcp.mx1.example.com. IN TLSA 3 1 1 8cb0fc6c527506a053f4f14c8464bebbd6dede1738d11468dd953d7d6a3021f1Termes associés
Sur ce site
Sources
Ce sur quoi repose cette définition. La formulation est la nôtre ; les faits sont les leurs.
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSA, section 2.1rfc-editor.org
- RFC 7671: The DANE Protocol: Updates and Operational Guidance, section 5.1rfc-editor.org
- RFC 7672: SMTP Security via Opportunistic DANE TLS, section 3.1.3rfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Les 432 termes du glossaireLe wiki : blacklists et codes de bounce