Was MTA-STS und TLS-RPT machen

So funktioniert es

Mailserver verschlüsseln untereinander meist freiwillig. Ein Angreifer im Netz kann die Verschlüsselung unterdrücken oder Mails umleiten. Mit MTA-STS (Mail Transfer Agent Strict Transport Security) legst du fest: Zustellung nur mit gültigem TLS-Zertifikat und nur an die genannten Server.

MTA-STS besteht aus zwei Teilen. Ein TXT-Record unter _mta-sts.<deine Domain> kündigt die Policy an:

v=STSv1; id=20261002

Die Policy selbst ist eine Datei unter https://mta-sts.<deine Domain>/.well-known/mta-sts.txt:

version: STSv1
mode: testing
mx: mail.deine-domain.example
max_age: 604800

TLS-RPT (TLS Reporting) ist ein weiterer TXT-Record, unter _smtp._tls.<deine Domain>. Sendende Server melden an die Adresse darin, wenn die verschlüsselte Zustellung scheitert:

v=TLSRPTv1; rua=mailto:tlsrpt@deine-domain.example

Worauf es ankommt

• Neue id bei jeder Änderung. Sendende Server laden die Policy nur neu, wenn sich die id ändert.
• Gültiges Zertifikat für mta-sts. Die Subdomain muss per https mit gültigem Zertifikat erreichbar sein.
• Alle Mailserver unter mx. Jeder Server aus deinen MX-Records muss passen; Platzhalter wie *.anbieter.example sind erlaubt.
• Am Ende mode: enforce. Mit testing wird nur berichtet, nichts erzwungen.

So richtest du es ein

1. Lege die Policy-Datei mit mode: testing auf der Subdomain mta-sts ab. Das übernimmt meist, wer deine Website betreibt.
2. Trage den MTA-STS-Record und den TLS-RPT-Record in der DNS-Verwaltung deiner Domain ein.
3. Bleiben die Berichte ein paar Wochen sauber, stellst du auf mode: enforce um und erhöhst die id.