MTA-STS · TLS-RPT · ospitato in Svizzera

E-mail verso il suo dominio solo cifrate – con MTA-STS

MTA-STS (RFC 8461) chiede agli altri server di posta di consegnare le e-mail per il suo dominio solo in modo cifrato e solo ai suoi veri server. igs.ch ospita la policy per lei: lei imposta tre record DNS, igs.ch si occupa del resto.

Iniziare gratuitamente Approfondire su igs.ch

Il problema: la cifratura delle e-mail è facoltativa

I server di posta cifrano la consegna con STARTTLS – ma solo se entrambe le parti collaborano. Un attaccante in rete può sopprimere l’offerta di cifratura (declassamento) o deviare la connessione verso un server falso. Il server mittente non se ne accorge e consegna in chiaro.

La soluzione: una policy vincolante

Con MTA-STS pubblica una policy sotto https://mta-sts.<suo-dominio>/.well-known/mta-sts.txt. Indica i suoi server di posta e la modalità:

testing – i mittenti segnalano i problemi ma continuano a consegnare.
enforce – i mittenti consegnano solo in modo cifrato ai server indicati con certificato valido.
none – la policy viene ritirata.

Un record TXT _mta-sts con un id indica ai mittenti che esiste una policy e quando è cambiata. I mittenti conservano la policy per la durata di max_age.

TLS-RPT: saprà se funziona

Con TLS-RPT (RFC 8460) provider come Google e Microsoft inviano un rapporto giornaliero: quante connessioni sono state cifrate e quali errori si sono verificati. Così vede i problemi prima di passare a enforce.

Come igs.ch ospita il suo MTA-STS

Procedura: record CNAME e TXT presso il cliente, policy presso igs.ch, i mittenti verificano policy e certificato, rapporti TLS-RPT verso igs.ch

Impostare tre record DNS: mta-sts come CNAME verso mta-sts.igs.ch, _mta-sts come TXT con l’id e _smtp._tls come TXT per i rapporti.
igs.ch si occupa di: certificato, pubblicazione della policy, lista dei suoi server secondo i record MX (confrontata ogni ora) e analisi dei rapporti TLS-RPT.
Avvio in modalità testing: se i rapporti firmati non mostrano errori per 14 giorni, igs.ch raccomanda il passaggio a enforce.

Esercizio e sicurezza

Le policy sono file pubblicati senza banca dati.
Un breve guasto non ha conseguenze sulla consegna: i mittenti usano la policy salvata.
Un freno d’emergenza impedisce che un errore modifichi molte policy contemporaneamente; un autocontrollo richiama ogni policy ogni ora.
Gestito in Svizzera da Hunkeler Digital Services.

Domande frequenti

Mi serve MTA-STS se ho DMARC?: Sì, si completano: DMARC protegge dai mittenti falsificati del suo dominio, MTA-STS protegge le e-mail verso il suo dominio durante il trasporto.
Quanto costa l’MTA-STS ospitato?: È incluso nel piano Progetto; igs.ch analizza i rapporti TLS-RPT anche nel piano Gratis.
Si perdono e-mail se qualcosa non va?: In modalità testing mai. In modalità enforce i mittenti rifiutano la consegna solo se non è possibile un percorso cifrato verso uno dei suoi server – per questo igs.ch passa solo dopo 14 giorni senza errori.
Dove vedo la mia policy?: Sotto https://mta-sts.<suo-dominio>/.well-known/mta-sts.txt.