Lesen Sie den MTA-STS-Eintrag, den eine Domain veröffentlicht, fügen Sie dann die Richtliniendatei ein, auf die er zeigt, und sehen Sie, was sie wirklich tut: durchgesetzt oder nur im Test, wie lange Sender sie zwischenspeichern und ob sie jeden Mailserver abdeckt, den die Domain tatsächlich nutzt. Läuft kostenlos in Ihrem Browser, ohne Anmeldung und ohne dass etwas gespeichert wird.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
Mit MTA-STS sagt eine Domain dem Rest des Internets, dass für sie eingehende E-Mails verschlüsselt sein müssen und an einen Server gehen, dessen Zertifikat passt. Ohne das ist die SMTP-Verschlüsselung opportunistisch: Der Sender bietet STARTTLS an, und wenn etwas schiefgeht, ein abgelaufenes Zertifikat, eine unterwegs entfernte Fähigkeit, ein Angreifer im Übertragungsweg, fällt er auf Klartext zurück, statt nicht zuzustellen. Genau dieser Rückfall ist das Problem, denn er bedeutet, dass die Verschlüsselung von jedem abgeschaltet werden kann, der die Verbindung stören kann. MTA-STS schließt ihn, indem es benennt, welche Server die E-Mails der Domain annehmen dürfen, und Sender bittet, alles andere abzulehnen. Es besteht mit Absicht aus zwei Teilen: einem kurzen DNS-Eintrag unter _mta-sts, der sagt, dass eine Richtlinie existiert, und eine Versions-id trägt, und der Richtlinie selbst, einer reinen Textdatei, die per HTTPS von mta-sts.example.com hinter einem Zertifikat ausgeliefert wird, das gültig sein muss. Die DNS-Hälfte ist der Teil, den ein Angreifer manipulieren kann, und sie enthält nichts, dessen Manipulation sich lohnt. Die Richtlinien-Hälfte ist der Teil, der etwas entscheidet, und sie wird über einen Kanal geholt, der belegt, wer sie ausgeliefert hat.
Die DNS-Hälfte, und beide Tags sind Pflicht. Die Version muss genau so geschrieben sein, in dieser Schreibweise, und ein Sender, der sie nicht findet, behandelt die Domain als hätte sie keine Richtlinie, statt den Eintrag zu reparieren. An der id merkt ein Sender, dass sich die Richtlinie geändert hat: Er vergleicht sie mit der zwischengespeicherten, also lässt eine Änderung an der Datei ohne neue id alle bei der alten Richtlinie, bis sie abläuft.
Die einzige Zeile, die entscheidet, ob MTA-STS überhaupt etwas tut. Enforce heißt, ein Sender verweigert die Zustellung über eine Verbindung, die er nicht authentifizieren kann. Testing heißt, er meldet den Fehlschlag und stellt trotzdem zu, was im Ergebnis dasselbe ist wie gar keine Richtlinie. None heißt, die Domain zieht sich zurück, was eine echte Konfiguration ist und der dokumentierte Weg, eine Einrichtung stillzulegen.
Wie viele Sekunden ein Sender die Richtlinie zwischenspeichern darf, und die Spezifikation erwartet einen Wert in Wochen, nicht in Stunden. Die lange Laufzeit ist die Sicherheitseigenschaft: Hat ein Sender die Richtlinie erst einmal, kann ein Angreifer, der jeden künftigen Abruf blockiert, die Domain trotzdem nicht herabstufen. Eine kurze schenkt ihm jeden Tag eine neue Gelegenheit.
Eine Zeile je Mailserver, den die Richtlinie abdeckt, und die Liste ist abschließend: Im Modus enforce verweigert ein Sender die Zustellung an jeden Host, auf den die Liste nicht passt. Ein Platzhalter darf das gesamte äußerste linke Label ersetzen und sonst nichts, also passt *.example.com auf mx1.example.com und weder auf example.com selbst noch auf a.b.example.com.
Testing war als erster Schritt gedacht und ist zum Dauerzustand geworden. Eine Richtlinie im Testmodus stellt genau die E-Mails zu, die auch ohne Richtlinie zugestellt würden, es ist also nichts geschützt, und die Domain wirkt für jeden konfiguriert, der nur ins DNS schaut. Ein großer Teil der Domains, die heute MTA-STS veröffentlichen, steht im Test, und deshalb meldet dieser Checker nie ein bestanden, bevor die Richtlinie gelesen wurde.
Ein DNS-Eintrag ohne Richtliniendatei dahinter schützt nichts, denn Sender holen die Datei und finden nichts, was sie anwenden könnten. Eine Richtliniendatei ohne DNS-Eintrag wird nie geholt, denn nichts sagt einem Sender, dass er nachsehen soll. Beide Hälften müssen laufen, und die Datei wird per HTTPS mit einem Zertifikat ausgeliefert, das für mta-sts.example.com gültig ist.
Sender entscheiden über einen erneuten Abruf, indem sie die id im DNS mit der zwischengespeicherten vergleichen. Wer die Richtlinie ändert und die id stehen lässt, sorgt dafür, dass jeder Sender mit einer Kopie weiter die alte anwendet, bis max_age abläuft, bei einer korrekt langen Laufzeit also womöglich wochenlang.
Das ist der Fehler, der E-Mails stoppt, statt sie nur ungeschützt zu lassen. Ein neuer Mailserver, ein Anbieterwechsel oder ein Backup-MX, der es nie in die Richtlinie geschafft hat, heißt: Sender im Modus enforce verweigern ihm die Zustellung. Die mx-Zeilen gegen die MX-Einträge zu halten, die die Domain gerade veröffentlicht, ist die nützlichste einzelne Prüfung, und genau das tut dieses Werkzeug mit der Richtlinie, die Sie einfügen.
mx.*.example.com und *example.com sind beide ungültig, und *.example.com deckt example.com selbst nicht ab. Die Regel ist mit Absicht eng, und ein Muster, wie es eine Shell schreiben würde, lässt genau die Hosts ungedeckt, die es abdecken sollte.
MTA-STS sagt Sendern, eine Verbindung abzulehnen, die sie nicht authentifizieren können. Es sagt Ihnen nicht, wann das passiert ist. Ohne Berichtseintrag erzeugt ein Zertifikat, das an einem Freitag abläuft, Stille statt einer Warnung, und das erste Signal ist jemand, dessen E-Mail zurückkam.
