TLS-hardening en MTA-STS

TLS-profiel (UI → Configuration → Configuration → TLS):

• Zet het minimum op TLSv1.2. Schakel TLSv1.0/1.1 uit.
• Cipher suites: kies Intermediate (het profiel van de Mozilla SSL Config Generator). Modern breekt te veel oudere relays.

MTA-STS (RFC 8461): laat weten dat je domein TLS vereist voor inkomende mail. Het bestaat uit twee delen:

1. DNS TXT op _mta-sts.example.com:

v=STSv1; id=20260101;

Verhoog id= telkens als je de policy wijzigt.

2. Policybestand op https://mta-sts.example.com/.well-known/mta-sts.txt:

version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800

TLS-RPT vult MTA-STS aan. Het is een DNS TXT-record op _smtp._tls.example.com dat naar een mailbox voor rapporten wijst. Je krijgt JSON-rapporten als verzenders er niet in slagen via TLS bij jou af te leveren.

Begin twee weken met mode: testing en schakel over naar enforce zodra TLS-RPT nul fouten laat zien.