MTA-STS

MTA-STS staat voor SMTP MTA Strict Transport Security. Een ontvangend maildomein publiceert hiermee eisen aan de met TLS beveiligde SMTP-verbinding en de toegestane mailservers. Het beleid wordt via HTTPS beschikbaar gesteld en met een DNS-record aangekondigd.

Verbind het beleid met het mailbeheer

In het fictieve controleontwerp wisselt een bedrijf de ontvangende mailserver voor verzendroute T-654. Het team controleert of de nieuwe server bij het gepubliceerde beleid past en een geschikt certificaat aanbiedt. Dat het beleid kan worden opgehaald, bevestigt op zichzelf niet het gedrag van die mailserver.

In de modus enforce mag een afzender die MTA-STS volgt en een geldig beleid heeft, niet bezorgen bij hosts die de bedoelde controles niet doorstaan. Bezorging kan daardoor vertraging oplopen; dat betekent niet automatisch een definitief verloren bericht. De testmodus heeft een andere werking en moet bewust worden gekozen.

Baken de bescherming juist af

MTA-STS betreft het transport tussen de betrokken mailservers. Het versleutelt de berichtinhoud niet van begin tot eind tot aan de persoon die leest en vervangt geen SPF-, DKIM- of DMARC-controle. Plan wijzigingen met de betrokken diensten en onderzoek ook de waargenomen fouten.

Bronnen

• IETF: SMTP MTA Strict Transport Security