Registro TLSA
O registro DNS usado pelo DANE que vincula um certificado TLS ou uma chave pública a um serviço, publicado num nome como _25._tcp.mx.example.com.
O que significa
Um registro TLSA tem três números e os dados de associação. Uso do certificado: 0 e 1 dependem de autoridades certificadoras públicas, 2 (DANE-TA) indica uma âncora de confiança, 3 (DANE-EE) fixa o próprio certificado ou chave do servidor. Seletor: 0 para o certificado completo, 1 apenas para a chave pública. Tipo de correspondência: 0 para os dados exatos, 1 para um hash SHA-256, 2 para SHA-512.
A RFC 7671 recomenda 3 1 1 (o hash SHA-256 da chave pública do servidor) para a maioria dos sites, porque o registro não precisa mudar quando um certificado é renovado com a mesma chave. A RFC 7672 diz que registros TLSA da porta 25 não devem usar os usos 0 ou 1.
O registro só vale quando a zona está assinada com DNSSEC. Atualize-o antes de trocar as chaves, ou os remetentes que validam DANE vão recusar a entrega.
Exemplo
_25._tcp.mx1.example.com. IN TLSA 3 1 1 8cb0fc6c527506a053f4f14c8464bebbd6dede1738d11468dd953d7d6a3021f1Termos relacionados
Neste site
Fontes
Em que esta definição se baseia. O texto é nosso; os fatos são das fontes.
- RFC 6698: The DNS-Based Authentication of Named Entities (DANE) TLS Protocol: TLSA, section 2.1rfc-editor.org
- RFC 7671: The DANE Protocol: Updates and Operational Guidance, section 5.1rfc-editor.org
- RFC 7672: SMTP Security via Opportunistic DANE TLS, section 3.1.3rfc-editor.org
- Microsoft Learn: How SMTP DANE workslearn.microsoft.com
Todos os 432 termos do glossárioA wiki: blacklists e códigos de bounce