Skyddas e-posten till er domän på vägen?

Tre poster som skyddar leveransen och DNS.

SPF, DKIM och DMARC skyddar mot e-post som förfalskas i ert namn. De här tre skyddar något annat: vägen e-posten tar till er, och DNS-svaren som allt annat bygger på.

• MTA-STS talar om för avsändande servrar att de bara får leverera e-post till er över en verifierad, krypterad anslutning. Utan den kan en angripare på vägen ta bort krypteringen.
• TLS-RPT ber avsändande servrar rapportera när de inte kunde leverera över TLS, så att ni får veta om ett trasigt certifikat eller en attack.
• DNSSEC signerar er DNS-zon, så att resolvrar kan skilja ett äkta svar från ett förfalskat.

Det här kan den hitta.

En domän helt utan MTA-STS-post ger inget fynd i kontrollen; uppslaget visar ändå att den saknas. MTA-STS och TLS-RPT gäller bara domäner som tar emot e-post, så en domän utan MX-poster, eller med en null-MX, bedöms inte på dem.

Börja med TLS-rapporteringen.

TLS-RPT är en TXT-post på _smtp._tls och ändrar ingenting i leveransen, så den är säker att lägga till först:

_smtp._tls.example.com.  3600  IN  TXT  "v=TLSRPTv1; rua=mailto:tls-rapporter@example.com"

Publicera sedan MTA-STS i läget testing, läs rapporterna några veckor och byt till enforce när alla e-postservrar visar giltiga certifikat. DNSSEC slår ni på hos er DNS-leverantör, och DS-posten behöver publiceras hos er domänregistrar.

En avläsning av öppen DNS.

• Policyfilen hämtas, men testas inte. Kontrollen läser MTA-STS-läget från https://mta-sts. följt av er domän; den försöker inte leverera e-post.
• DNSSEC via en validerande resolver. Om resolvern inte kan ge ett tydligt svar visas inget fynd om DNSSEC, i stället för en gissning.

De här posterna ingår i modulen för e-postsäkerhet, tillsammans med DMARC och SPF. Den gratis kontrollen täcker alla sex moduler.