Wat is MTA-STS?
Met MTA-STS (RFC 8461) vertelt een domein verzendende servers dat ze de mail alleen via TLS mogen afleveren, met een geldig certificaat, bij MX-hosts die het domein noemt. Het bestaat uit twee delen: een TXT-record op _mta-sts.jouwdomein met een policy-id, en een policybestand dat via https wordt geserveerd op mta-sts.jouwdomein/.well-known/mta-sts.txt.
De uitkomst lezen
De tool leest het record en haalt daarna het policybestand op. Je ziet de id, de modus (enforce, testing of none), de MX-patronen die de policy toestaat en max_age: hoe lang verzenders de policy mogen cachen. Een record waarvan het policybestand niet op te halen is, wordt als fout gemeld.
Beat draait op dezelfde engine, volgens een vast schema, over alle 41 checks en 25 blacklists. Wat Beat toevoegt: steeds opnieuw vragen, merken wanneer een antwoord verandert en je vertellen wat je eraan moet doen.
Veelvoorkomende MTA-STS-problemen
Een policybestand dat niet op te halen is
Het bestand moet via https worden geserveerd vanaf mta-sts.jouwdomein, met een geldig certificaat voor die naam. Een ontbrekend subdomein, een 404 of een slecht certificaat laat het record naar niets verwijzen.
Modus op testing
Verzenders melden TLS-problemen aan het adres in je TLS-RPT-record (RFC 8460) en leveren toch af. Testing is waar je begint, en het beschermt niets tot je overstapt op enforce.
Een MX die niet in de policy staat
In de modus enforce weigeren verzenders af te leveren bij een MX-host die bij geen enkele mx:-regel van de policy past. Wissel je van mailprovider zonder de policy bij te werken, dan stopt je inkomende mail.
Een gewijzigde policy met dezelfde id
Verzenders cachen de policy en halen die pas opnieuw op als de id in het TXT-record verandert. Pas je het bestand aan zonder de id te wijzigen, dan blijven ze de oude gebruiken tot max_age verloopt.