MTA-STS lookup
Controleer het MTA-STS-beleid dat afdwingt dat mail versleuteld wordt afgeleverd.
Wat doet deze tool?
MTA-STS (mail transfer agent strict transport security) zorgt dat andere mailservers je mail alleen versleuteld en naar de juiste servers afleveren. Zonder MTA-STS kan een aanvaller de versleuteling soms ongemerkt uitzetten.
Twee onderdelen
Een TXT-record op _mta-sts met een id, en een beleidsbestand op mta-sts.jouwdomein.nl. We controleren allebei.
De modus
Bij testing wordt alleen gerapporteerd, bij enforce wordt mail die niet versleuteld kan worden afgeleverd, tegengehouden. Begin met testing en ga over op enforce.
Toegestane mailservers
Het beleid noemt de MX-servers die gebruikt mogen worden. We vergelijken die met de MX-records van het domein.
Certificaat
Het beleidsbestand moet over https met een geldig certificaat worden aangeboden. Een verlopen certificaat zorgt ervoor dat het beleid wordt genegeerd.
Zo lees je het resultaat
MTA-STS bestaat uit een TXT-record op _mta-sts.jouwbedrijf.nl en een beleidsbestand op https://mta-sts.jouwbedrijf.nl/.well-known/mta-sts.txt. In dat bestand staan de modus, de toegestane mailservers en hoe lang het beleid geldt (max_age).
In de modus testing wordt niets geweigerd, alleen gerapporteerd. In de modus enforce weigeren verzendende servers af te leveren als de verbinding niet veilig kan worden opgezet.
Veelgestelde vragen
Wat gebeurt er als ik de MX-servers wijzig?
Pas dan ook het beleidsbestand aan en verhoog het id in het TXT-record. Anders kan mail naar de nieuwe server bij enforce worden geweigerd.
Hoe lang moet max_age zijn?
Minstens enkele dagen; veel gebruikte waarden zijn een paar weken. Een korte waarde maakt de beveiliging minder effectief.
Heb ik MTA-STS nodig als ik Microsoft 365 of Google gebruik?
Ontvangen mail beveiligen met MTA-STS is optioneel. Grote aanbieders ondersteunen het voor hun eigen domeinen; voor jouw eigen domein stel je het zelf in.