MX- und STARTTLS-Test

Wie eine Nachricht Ihren Server findet

Wenn jemand an anna@example.com schreibt, fragt sein Mailserver die MX-Einträge von example.com ab. Jeder Eintrag nennt einen Server und gibt ihm eine Zahl. Die niedrigste Zahl wird zuerst versucht, die anderen sind Ausweichserver. Der sendende Server öffnet dann eine Verbindung auf Port 25, und die beiden Maschinen sprechen SMTP, ein Protokoll von 1982, das alles als lesbaren Text überträgt.

Verschlüsselung kam später, als Upgrade innerhalb desselben Gesprächs. Der empfangende Server führt STARTTLS unter seinen Fähigkeiten auf, der Absender antwortet mit demselben Wort, und ab da ist die Sitzung durch TLS geschützt, die Technik hinter HTTPS. Steht das Wort nicht auf der Liste, reist die Nachricht im Klartext.

Was der Test auf Port 25 tut

Für bis zu fünf MX-Server, in der Reihenfolge ihrer Priorität, löst er die erste IPv4-Adresse auf und spielt den Anfang einer Zustellung durch:

S: 220 mx1.example.com ESMTP
C: EHLO <unser Server>
S: 250-mx1.example.com
S: 250-SIZE 52428800
S: 250 STARTTLS
C: STARTTLS
S: 220 Ready to start TLS
   (TLS-Handshake, Zertifikat gelesen)
C: QUIT

Und dort hört er auf. Er nennt nie einen Absender, einen Empfänger oder eine Nachricht. Aus dem Handshake notiert er die TLS-Version, die Cipher Suite, Aussteller und Ablaufdatum des Zertifikats, ob das Zertifikat den MX-Host nennt und ob seine Kette zu einer vertrauenswürdigen Zertifizierungsstelle führt.

Danach sucht er nach zwei DNS-Einträgen und einer Datei: dem TXT-Eintrag bei _mta-sts, der Richtlinie unter https://mta-sts.example.com/.well-known/mta-sts.txt und dem TXT-Eintrag bei _smtp._tls.

Die vier Kacheln lesen

Server

Wie viele MX-Hosts die Verbindung begrüßt haben. Ein stummer Ausweichserver bekommt eine Warnung. Antwortet keiner, stellen Absender Ihre E-Mails in die Warteschlange und schicken sie nach ein paar Tagen zurück.

Verschlüsselung

„Teilweise“ heißt, dass mindestens ein erreichbarer Server STARTTLS nicht abgeschlossen hat. Es ist der einzige Befund hier, der das ganze Ergebnis rot färbt, obwohl weiter E-Mails ankommen.

Zertifikate

„Prüfen“ umfasst ein abgelaufenes Zertifikat, ein selbstsigniertes oder eines, das für einen anderen Namen ausgestellt ist. TLS 1.0 und 1.1 werden gesondert als veraltet markiert.

MTA-STS

Zeigt den Modus aus der Richtliniendatei: enforce, testing oder none. Rot wird es, wenn der DNS-Eintrag existiert, die Datei aber nicht abgerufen werden kann, keine Modus-Zeile hat oder einen Ihrer MX-Hosts auslässt.

Eine Domain ohne MX oder mit dem „Null-MX“-Eintrag 0 . wird als nicht E-Mail-empfangend gemeldet. Für eine Domain, die nur eine Website ausliefert, ist das eine gültige Einrichtung.

Warum ein schlechtes Zertifikat trotzdem E-Mails bekommt und wie MTA-STS das ändert

Einfaches STARTTLS ist opportunistisch. Die meisten Absender verschlüsseln, wenn sie können, und prüfen das Zertifikat nicht. Wer den Netzweg kontrolliert, kann also die Zeile STARTTLS aus der Antwort löschen und alles mitlesen. MTA-STS schließt diese Lücke. Sie veröffentlichen über HTTPS die Liste Ihrer MX-Hosts und die Regel, dass sie ein gültiges Zertifikat vorweisen müssen. Gmail und Outlook.com wenden sie an, wenn sie Ihnen schreiben.

Die Richtliniendatei ist vier Zeilen lang:

version: STSv1
mode: testing
mx: mx1.example.com
max_age: 604800

Liefern Sie sie von der Subdomain mta-sts mit einem gültigen HTTPS-Zertifikat aus und fügen Sie dann zwei TXT-Einträge hinzu:

_mta-sts.example.com.   TXT "v=STSv1; id=20260115"
_smtp._tls.example.com. TXT "v=TLSRPTv1; rua=mailto:tls-reports@example.com"

Bleiben Sie bei testing, bis die täglichen TLS-RPT-Berichte ohne Fehler zurückkommen, dann wechseln Sie auf enforce und ändern den Wert id, damit Absender die Richtlinie neu laden. Bei gehosteten Mailsystemen wie Google Workspace oder Microsoft 365 sind die MX-Zertifikate Sache des Anbieters. Die Richtlinie ist der einzige Teil, den Sie veröffentlichen müssen.