Mail-Transport & Reputation

Was ist MTA-STS? SMTP MTA Strict Transport Security erklärt

MTA-STS zwingt sendende Mailserver, E-Mails an deine Domain nur verschlüsselt und nur an die echten Mailserver mit gültigem Zertifikat zuzustellen.

So funktioniert MTA-STS

SMTP verschlüsselt per STARTTLS nur, wenn beide Seiten es anbieten – ein Angreifer kann das unterdrücken (Downgrade). MTA-STS macht Verschlüsselung verbindlich: Die Domain veröffentlicht eine Richtlinie, die sendende Server abrufen und zwischenspeichern.

Dazu gehören zwei Teile: ein TXT-Eintrag unter _mta-sts.<domain> mit einer id, und die Richtliniendatei unter https://mta-sts.<domain>/.well-known/mta-sts.txt. Sie enthält den Modus (enforce, testing oder none), die erlaubten MX-Hosts und max_age, also wie lange Absender die Richtlinie speichern.

Im Modus enforce wird eine Mail nicht zugestellt, wenn keine verschlüsselte Verbindung mit gültigem Zertifikat zu einem der genannten MX zustande kommt. Sinnvoll ist ein Start mit testing plus TLS-RPT-Berichten. Gmail und Microsoft werten MTA-STS aus.

Beispiel

_mta-sts.example.com.  TXT  "v=STSv1; id=20261027"

# https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: enforce
mx: mx1.example.com
mx: mx2.example.com
max_age: 604800

max_age 604800 entspricht einer Woche. Nach jeder Änderung der Datei muss die id im TXT-Eintrag erhöht werden.

Typische Fehler

Die id wird nach einer Änderung der Richtlinie nicht erhöht – Absender nutzen weiter die alte.
Ein MX-Host fehlt in der Richtlinie, nach einem Umzug etwa der neue Mailserver.
Die Subdomain mta-sts hat kein gültiges HTTPS-Zertifikat.
Sehr kurzes max_age (z. B. 86400) – dann schützt die Richtlinie kaum.

So bewertet der Domain Trust Check MTA-STS

Kriterium „MTA-STS“ (Gewicht 4 von 5): TXT-Record _mta-sts, Policy-Datei per HTTPS unter mta-sts.<domain>/.well-known/mta-sts.txt, Modus (enforce/testing), Syntax, alle MX-Hosts in der Policy und sinnvolles max_age.

Standard: RFC 8461