MTA-STS-Checker
MTA-STS Policy und TLS-RPT prüfen — erzwingt verschlüsselten E-Mail-Transport.
So funktioniert dieses Tool
Der MTA-STS-Checker prüft ob eine Domain MTA-STS (Mail Transfer Agent Strict Transport Security) konfiguriert hat. MTA-STS erzwingt TLS-Verschlüsselung beim E-Mail-Transport und schützt gegen Downgrade-Angriffe. Geprüft werden der DNS-Record (_mta-sts), die Policy-Datei und der TLS-RPT-Record für Reporting.
Typische Anwendungsfälle
- MTA-STS-Setup nach Einrichtung validieren
- Prüfen ob die Policy-Datei korrekt unter .well-known erreichbar ist
- TLS-RPT-Konfiguration validieren
- E-Mail-Security-Audit für Unternehmens-Domains
Häufige Fragen
Was ist MTA-STS?
MTA-STS (RFC 8461) ermöglicht es Domains zu deklarieren, dass eingehende E-Mails nur über TLS-verschlüsselte Verbindungen akzeptiert werden. Verhindert STARTTLS-Stripping durch Man-in-the-Middle.
Welche Komponenten braucht MTA-STS?
1. DNS TXT-Record unter _mta-sts.domain.invalid (v=STSv1; id=...). 2. Policy-Datei unter https://mta-sts.domain.invalid/.well-known/mta-sts.txt. 3. Optional: TLS-RPT DNS Record unter _smtp._tls.
Was bedeutet mode: enforce?
enforce = E-Mails werden abgelehnt wenn keine TLS-Verbindung möglich ist. testing = E-Mails werden zugestellt, aber Fehler gemeldet (per TLS-RPT). none = deaktiviert.
Was ist TLS-RPT?
TLS Reporting (RFC 8460) — sendende Server schicken Berichte über fehlgeschlagene TLS-Verbindungen an die im DNS angegebene Adresse. Hilft Probleme früh zu erkennen.
Braucht man MTA-STS wenn man schon DANE hat?
DANE und MTA-STS ergänzen sich. DANE basiert auf DNSSEC (nicht überall verfügbar), MTA-STS auf HTTPS. Beides zusammen bietet die beste Abdeckung.
Wie oft sollte die Policy-ID geändert werden?
Bei jeder Änderung der Policy-Datei. Die ID im DNS-Record signalisiert sendenden Servern, dass sie die Policy neu laden müssen. Empfehlung: Zeitstempel als ID.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.