Zum Inhalt springen

Ihre MTA-STS-Richtlinie für verschlüsselte E-Mails funktioniert nicht

Warnung Ganze Domain E-Mail-Zustellung

Allgemeine Anleitung für jede Ursache. Öffnen Sie diesen Artikel aus Ihrem PageCheck-Bericht, um nur die Ursache Ihrer Domain zu sehen, ausgefüllt mit ihren Einträgen.

Was es ist

MTA-STS hat zwei Teile: einen TXT-Eintrag _mta-sts.example.com, der die Richtlinie ankündigt, und die Richtliniendatei unter https://mta-sts.example.com/.well-known/mta-sts.txt, die Ihre Mailserver aufführt. Sendende Server lesen beides vor der Zustellung und behalten die Datei so lange, wie ihr max_age angibt.

Was falsch ist

Die Domain kündigt eine MTA-STS-Richtlinie an, aber Absender können sie nicht verwenden. Je nach Ursache stellen sie ohne ihren Schutz zu oder – wenn eine Richtlinie im Modus enforce einen Mailserver auslässt – stellen an ihn gar nicht zu. Das sind die Ursachen, vom Eintrag bis zur Datei:

  • Es gibt mehr als einen _mta-sts-TXT-Eintrag. Absender ignorieren die Richtlinie, wenn der Eintrag nicht eindeutig ist. Löschen Sie die überzähligen Einträge und behalten Sie genau einen, „v=STSv1; id=…“.
  • Der _mta-sts-TXT-Eintrag hat keine gültige id. Der Eintrag muss „v=STSv1; id=…“ lauten, mit einer id nur aus Buchstaben und Ziffern, höchstens 32 Zeichen.
  • Die Richtliniendatei antwortet nicht. Prüfen Sie, ob die Subdomain mta-sts einen DNS-Eintrag hat, der auf den Server oder Worker mit der Datei zeigt, und ob der Server über HTTPS antwortet.
  • Das Zertifikat der Richtliniendatei ist nicht gültig. Absender akzeptieren die Datei nur über HTTPS mit einem gültigen Zertifikat für die Subdomain mta-sts: Stellen Sie eines aus (Let's Encrypt im Hosting-Panel; ein Cloudflare Worker auf einer Custom Domain bekommt es von selbst).
  • Die Adresse der Richtlinie antwortet mit etwas anderem als der Datei. Sie muss mit Status 200 und der Datei selbst antworten: keine Weiterleitung (auch nicht auf www oder die Hauptwebsite), keine Fehlerseite.
  • Die Datei ist keine gültige Richtlinie. Sie braucht die Zeilen „version: STSv1“, „mode:“ testing, enforce oder none, mindestens eine „mx:“-Zeile (außer im Modus none) und „max_age:“ in Sekunden, höchstens 31557600.
  • Die Richtlinie lässt einige Mailserver der Domain aus. Jeder Mailserver (MX) muss zu einer mx-Zeile passen, genau oder mit einem Platzhalter-Label (*.example.com). Absender, die die Richtlinie durchsetzen, stellen an einen ausgelassenen Server nicht zu.

So beheben Sie es

1. Die Ursache in der Liste oben finden und beheben. Öffnen Sie https://mta-sts.example.com/.well-known/mta-sts.txt im Browser: Die Datei muss als reiner Text erscheinen, ohne Weiterleitung und ohne Zertifikatswarnung. Eine korrekte Datei und die Einträge finden Sie in dem Einrichtungsartikel.

2. Nach jeder Änderung der Datei die id ändern. Absender rufen die Datei nur erneut ab, wenn sich die id im _mta-sts-Eintrag ändert. Jeder neue Wert aus Buchstaben und Ziffern genügt.

3. Prüfen. Öffnen Sie https://mta-sts.example.com/.well-known/mta-sts.txt: Die Datei sollte als reiner Text erscheinen. Führen Sie dann diese Prüfung erneut aus: Sie liest die Datei und vergleicht ihre mx-Zeilen mit Ihren Mailservern. 

Fix the MTA-STS (RFC 8461) set-up of the mail domain example.com: senders cannot use its policy; find out why.
Policy file: https://mta-sts.example.com/.well-known/mta-sts.txt. MX hosts: mail.example.com.

Steps:
1. Make https://mta-sts.example.com/.well-known/mta-sts.txt answer 200 over HTTPS with a valid certificate for mta-sts.example.com, no redirect, with a valid STSv1 policy listing every MX host.
2. If the file changes, change the id in the _mta-sts TXT record (for example to 2).
3. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt and dig TXT _mta-sts.example.com +short.
Every MX host must match an mx line exactly or by one wildcard label (*.example.com).

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461

Prüfen Sie Ihre Website, um zu sehen, ob sie dieses Problem hat. Website prüfen