MTA-STS-Prüfer
E-Mails zwischen Servern werden verschlüsselt, wenn beide Seiten damit einverstanden sind, und ein Angreifer in der Mitte kann dazu führen, dass sie nicht einverstanden sind. Mit MTA-STS gibt eine Domäne an, dass ihre E-Mails verschlüsselt oder gar nicht ankommen müssen. Überprüfen Sie eine von Ihnen kontrollierte Domäne und prüfen Sie, ob die Richtlinie veröffentlicht und durchgesetzt wird.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Was MTA-STS ist, in einem Absatz
Wenn ein Mailserver an einen anderen zustellt, beginnt dieser im Klartext und fordert zum Wechsel zu TLS auf. Ein Angreifer, der sich im Pfad befindet, kann diese Anfrage entfernen und die beiden Server machen unverschlüsselt weiterohne dass es jemand merkt. MTA-STS schließt diese Lücke. Ihre Domain veröffentlicht einen kurzen TXT-Eintrag und eine Richtliniendatei unter einer eigenen Webadresse; Ein sendender Server, der dies unterstützt, ruft die Richtlinie ab, merkt sich sie und stellt sie dann nur an die darin genannten Mailserver und nur über eine TLS-Verbindung mit einem gültigen Zertifikat zu.
Fünf Gründe, Ihren eigenen MTA-STS zu überprüfen
01
Eine Verschlüsselung, die ein Angreifer ausschalten kann, ist keine Verschlüsselung
OpportunistischTLS schützt davor, dass jemand E-Mails passiv liest. Es schützt nicht vor Einmischungswilligen, denn die Herabstufung erfolgt stillschweigend. MTA-STS ist die Steuerung, die „normalerweise verschlüsselt“ in „abgelehnt, sofern nicht verschlüsselt“ umwandelt.
02
Der Datensatz allein bringt nichts
Der TXT-Eintrag teilt den Absendern lediglich mit, dass eine Richtlinie vorhanden ist. Die Richtlinie selbst befindet sich unter https://mta-sts.yourdomain/.well-known/mta-sts.txt und muss mit einem gültigen Zertifikat für diesen Namen erreichbar sein. Ein Datensatz ohne funktionierende Richtliniendatei ist die häufigste Art zu glauben, dass Sie geschützt sind, obwohl dies nicht der Fall ist.
03
Der Testmodus ist ein Ausgangspunkt, kein Ziel
Eine Richtlinie hat einen Modus: none, testing oder enforce. Im Testmodus AbsenderLiefern Sie trotzdem, wenn die Prüfung fehlschlägt, und melden Sie es nur. Das ist der richtige Anfang, und viele Domains bleiben dort jahrelang. Nur enforce stoppt eine herabgestufte Zustellung.
04
Eine Richtlinie, die die falschen Mailserver auflistet, lehnt Ihre eigene E-Mail ab
Die Richtlinie benennt die MX-Hosts, die E-Mails für die Domäne empfangen dürfen. Wenn Sie zu einem neuen E-Mail-Anbieter wechseln, ohne ihn zu aktualisieren, werden Absender, die die Richtlinie durchsetzen, überhaupt nicht an die neuen Server zustellen. Dasbesteht auch das Risiko einer langen max_age: Eine falsche Richtlinie bleibt von den Absendern so lange im Cache, wie Sie es versprochen haben.
05
Mit TLS-RPT finden Sie es heraus
Bei der TLS-Berichterstellung handelt es sich um einen zweiten TXT-Eintrag, der den Absendern mitteilt, wohin sie tägliche Berichte über Zustellungsfehler und Richtlinienprobleme senden sollen. Ohne sie scheitert eine durchgesetzte Richtlinie im Stillen, und das erste Anzeichen eines Problems ist ein Kunde, dessen Post nie angekommen ist.
Informieren Sie sich über den Tag, an dem sich Ihre Police ändert
Ein MTA-STS-Setupist ein Datensatz, eine Webadresse, ein Zertifikat und eine Liste von Mailservern, und jeder von ihnen hat einen anderen Besitzer.
Geplante Scans führen zu einem Unterschied, der Ihnen mitgeteilt wird: Die Richtliniendatei wurde nicht mehr geladen, das Zertifikat für den Richtliniennamen ist abgelaufen, der Modus wurde von enforce zurück auf testing geändert. Benachrichtigungen kommen in der App, per E-Mail oder über Slack, Teams, Jira oder einen Webhook.
Schritt 01 · Benennen Sie die Domain
Eine von Ihnen kontrollierte Domain, die Ihrem AYAsec-Konto hinzugefügt wurde. Der Besitz wird überprüft, bevor etwas versendet wird – AYAsec plant keine Scans für die Infrastruktur, über die Sie nicht nachgewiesen haben, dass Sie die Kontrolle darüber haben, und beweist, dass dafür ein DNS-Eintrag benötigt wird. Bei der obigen Schnellprüfung wird dies übersprungen: kein Konto, keine Verifizierung, nur IP-Ratenbegrenzung und die Regel, dass das Ziel eine öffentliche Adresse sein muss.
Schritt 02 · Letder Prüflauf
Der Datensatz und die Richtliniendatei sind öffentlich, es handelt sich also um Lesevorgänge und nicht um Prüfvorgänge. Es ruft sie auf die Art und Weise ab, wie es ein sendender Mailserver tun würde.
Schritt 03 · Lesen Sie das Ergebnis
Die Ergebnisse werden nach Schweregrad sortiert und mit A+ bis F bewertet. Eine fehlende Richtlinie und eine Richtlinie im Testmodus befinden sich nicht in derselben undifferenzierten Liste.
Wozu das gehört
MTA-STS ist einer von mehreren E-Mail-bezogenen Datensätzen, die AYAsec im Rahmen seines DNS-Scans überprüft.neben SPF, DKIM, DMARC, TLS-RPT und DNSSEC. Es handelt sich um einen Scan, und diese Seite handelt von einem Teil dessen, was sie betrachtet.
DNS trägt 20 % der Gesamtnote. Die anderen sind HTTP mit 30 %, TLS und Ports mit jeweils 20 % und die Domain-Glaubwürdigkeit mit 10 %. Sie alle zusammen bilden die AngriffsflächeManagement](/attack-surface-management/) bedeutet in der Praxis.
Fragen, bevor Sie nachsehen
Was kann ich überprüfen?
Infrastruktur, die Sie besitzen oder mit deren Testen Sie beauftragt wurden. Der obige Schnellcheck bestätigt das nicht für Sie – er schränkt die Rate nur nach IP ein und weigert sich, auf irgendetwas anderes als eine öffentliche Adresse abzuzielen. Fügen Sie stattdessen die Domain zu einem AYAsec-Konto hinzu, und die Kontrolle wird überprüft, bevor irgendetwas geplantes ausgeführt wird: eine rechtliche und praktische Grenze, da ein ungeprüfter Scan auch für Sie als Beweismittel nicht von Nutzen ist.
MTA-STS ist öffentlich. Warum ist das nötig?Verifizierung?
Der Datensatz und die Richtlinie sind öffentlich und die Prüfung ist schreibgeschützt, sodass die Prüfung selbst harmlos ist. Bei der Verifizierung geht es darum, was als nächstes passiert: Eine Domain in Ihrem AYAsec-Konto wird überwacht, bewertet und in Ihrem Verlauf gespeichert, und nichts davon sollte für eine Domain möglich sein, die nicht Ihre eigene ist.
Schützt MTA-STS E-Mails, die ich sende?
Nein. Es schützt E-Mails, die an Ihre Domain gesendet werden. Ob eine von Ihnen gesendete Nachricht geschützt ist, hängt von der Richtlinie abder empfangenden Domain und auf Ihrem eigenen Mailserver, der diese berücksichtigt.
Was ist der Unterschied zwischen MTA-STS und DANE?
Beide zielen auf das gleiche Downgrade-Problem ab. DANE ist auf DNSSEC angewiesen und veröffentlicht das Zertifikat im DNS; MTA-STS basiert auf einer Richtlinie über HTTPS und einem gewöhnlichen Zertifikat. MTA-STS ist einfacher bereitzustellen und wird von den großen Anbietern unterstützt.
Wie komme ich sicher vom Testen zur Durchsetzung?
Veröffentlichen Sie die Richtlinie im testing-ModusLesen Sie bei eingeschaltetem TLS-RPT die Berichte einige Wochen lang, korrigieren Sie, was sie anzeigen – normalerweise ein Zertifikat oder einen MX-Namen, der nicht übereinstimmt – und ändern Sie erst dann den Modus und erhöhen Sie max_age.
Behalten Sie die Ergebnisse?
Nicht die kurze Überprüfung oben – sie verbleibt etwa fünfzehn Minuten lang im Speicher, sodass Sie sie einmal lesen können, dann ist sie verschwunden. Das ist eine bewusste Datenschutzentscheidung und keine Einschränkung: Niemand außer Ihnen sieht jemals diesen Scan, und Sie können das vollständige Ergebnis herunterladen, bevor es abläuft. Fügen Sie die Domäne stattdessen einem AYAsec-Konto hinzu, und jeder Scan wird gespeichert – eine Reihe, die Ihnen sagt, welche Bearbeitung ihn beschädigt hat. Die Aufbewahrung hängt von Ihrem Plan ab.
Behalten Sie die Geschichte, nicht nur dieErgebnis
Führen Sie die vollständige DNS-Prüfung für Ihre eigenen Domänen nach einem Zeitplan durch, wobei jede Änderung für denjenigen gekennzeichnet wird, der sie sehen muss.
Die anderen Dame
– TLS-Scanner – ist das Zertifikat auf dem Richtliniennamen und auf dem Mailserver in gutem Zustand?
DMARC-Prüfer – Was passiert mit E-Mails, die die Prüfung nicht bestehen?
DNSSicherheitsprüfer – DNSSEC, Nameserver und die Datensätze selbst
Strukturierte Daten zum Einbetten
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec MTA-STS Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/mta-sts-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Fügen Sie kein FAQPage- oder HowTo-Markup hinzu – Google hat beide Ergebnistypen zurückgezogen.