Warum zwei Teile statt eines Eintrags?

Weil die Policy mehr Angaben enthält, als sinnvoll in einen DNS-Eintrag passen, und weil ihre Echtheit über das Zertifikat des Webservers abgesichert wird statt über DNSSEC. Der TXT-Eintrag ist nur der Wegweiser: er sagt, dass es eine Policy gibt und welche Fassung gerade gilt. Abgeholt wird sie über HTTPS.

Muss ich dafür einen eigenen Webserver betreiben?

Sie brauchen unter mta-sts.ihre-domain einen Namen, der über HTTPS erreichbar ist und ein gültiges Zertifikat für genau diesen Namen hat. Das kann ein bestehender Webserver mit einer zusätzlichen Konfiguration sein, ein statischer Hoster oder ein Dienst Ihres Anbieters. Ausgeliefert wird eine einzige Textdatei.

Womit fange ich an, testing oder enforce?

Mit testing. In diesem Modus meldet ein sendender Server Abweichungen, stellt aber normal zu. So sehen Sie, ob Ihre Liste der Mailserver vollständig ist, ohne Mail zu riskieren. Sinnvoll wird das zusammen mit TLS-RPT, denn erst darüber kommen die Meldungen bei Ihnen an. Danach stellen Sie auf enforce um.

Was gehört in die Liste der Mailserver?

Alle Hosts, die Mail für Ihre Domain annehmen, also in aller Regel genau die Namen aus Ihren MX-Einträgen. Betreibt Ihr Anbieter viele Maschinen unter einem gemeinsamen Namensschema, ist ein Muster wie *.example.net der richtige Weg; es deckt eine Ebene ab, nicht beliebig viele.

Was passiert, wenn ich die Policy später ändere?

Dann muss sich die Kennung im TXT-Eintrag ändern, sonst holen sendende Server die Datei nicht neu, sondern arbeiten bis zum Ablauf von max_age mit der alten Fassung. Dieser Generator berechnet die Kennung aus dem Inhalt der Policy: erzeugen Sie sie mit den geänderten Angaben neu, bekommen Sie automatisch eine neue Kennung und tragen beide Teile zusammen ein.

Wie nehme ich MTA-STS wieder zurück?

Nicht durch Löschen. Setzen Sie den Modus auf none und veröffentlichen Sie diese Policy mit neuer Kennung. Sendende Server, die noch die alte Fassung zwischengespeichert haben, erfahren so ausdrücklich, dass die Regel nicht mehr gilt. Erst wenn die alte Gültigkeitsdauer abgelaufen ist, können die Dateien weg.

Ändert der Generator etwas an meinem DNS oder Webserver?

Nein. Er erzeugt zwei Texte, die Sie selbst eintragen beziehungsweise ausliefern. Er fragt dafür auch nichts ab, sondern rechnet ausschließlich aus Ihren Angaben.

MTA-STS Generator

TXT-Eintrag und Policy-Datei für MTA-STS erzeugen, beide zusammen.

MTA-STS sorgt dafür, dass andere Mailserver Nachrichten an Ihre Domain nur noch über eine verschlüsselte, geprüfte Verbindung zustellen. Ohne das Verfahren ist SMTP-Verschlüsselung eine reine Höflichkeit: ein Angreifer in der Leitung kann die Verschlüsselung einfach wegverhandeln, und der sendende Server merkt davon nichts. Eine veröffentlichte Policy nimmt ihm genau diese Möglichkeit.

Was der Generator macht

Er erzeugt die beiden Teile, aus denen ein MTA-STS-Setup besteht, und das ist der wesentliche Unterschied zu einem SPF- oder DMARC-Eintrag:

einen TXT-Eintrag auf _mta-sts. vor Ihrer Domain. Er enthält nur die Version und eine Kennung und sagt sendenden Servern, dass es eine Policy gibt.
eine Policy-Datei, die unter https://mta-sts.ihre-domain/.well-known/mta-sts.txt erreichbar sein muss. In ihr steht, welche Mailserver für Ihre Domain zuständig sind, wie streng die Regel gilt und wie lange sendende Server sie sich merken.

Der Eintrag allein bewirkt nichts, und die Datei allein wird nie gefunden. Deshalb stehen hier beide Teile nebeneinander, jeweils mit dem vollständigen Ort, an den sie gehören.

Das Ergebnis lesen

Der Modus entscheidet über die Wirkung. Test meldet Abweichungen, ändert aber nichts an der Zustellung: nichts geht verloren, geschützt ist die Domain aber auch noch nicht. Durchsetzen ist der eigentliche Schutz, denn dort bricht ein sendender Server die Zustellung ab, wenn die Verbindung nicht zur Policy passt. Genau deshalb gehört an den Anfang der Test-Modus: Sie sehen erst, ob Ihre Liste der Mailserver vollständig ist, bevor eine Lücke darin zu abgelehnter Mail führt.

Die Kennung im TXT-Eintrag wird aus dem Inhalt der Policy berechnet. Sie ändert sich also genau dann, wenn sich die Policy ändert, und bleibt sonst gleich. Das ist wichtiger, als es aussieht: sendende Server merken ausschließlich an dieser Kennung, dass sie die Datei neu holen müssen. Wer die Datei ändert und den Eintrag stehen lässt, arbeitet wochenlang gegen eine Policy, die niemand mehr abruft.

Hintergrund: was der RFC verlangt

Maßgeblich ist RFC 8461. Er verlangt, dass die Policy über HTTPS von der Unterdomain mta-sts. ausgeliefert wird, mit einem gültigen Zertifikat für genau diesen Namen, und dass sie mindestens ein mx-Feld enthält. Der Platzhalter * ist erlaubt, aber nur ganz vorn und nur für eine Ebene: *.example.net deckt mx1.example.net ab, nicht mx1.mail.example.net.

max_age bestimmt, wie lange sendende Server die Policy zwischenspeichern. RFC 8461 empfiehlt mindestens eine Woche. Ein kurzer Wert klingt vorsichtig, schwächt den Schutz aber: je öfter ein Server neu fragt, desto größer das Zeitfenster, in dem er ohne gültige Policy zustellt.

MTA-STS und DANE verfolgen dasselbe Ziel auf verschiedenen Wegen. DANE verankert die Zusage im DNS und setzt dort DNSSEC voraus; MTA-STS kommt ohne DNSSEC aus und stützt sich stattdessen auf das Zertifikat des Webservers. Beides nebeneinander ist möglich und üblich.

Häufige Fehlerbilder

Die Policy-Datei fehlt oder liegt falsch. Der TXT-Eintrag steht, der Rest nicht: für sendende Server ist das kein halber Schutz, sondern gar keiner.
Das Zertifikat passt nicht zu mta-sts. Ein Zertifikat für die Hauptdomain allein genügt nicht; der Name muss enthalten sein.
Die Datei wurde geändert, die Kennung nicht. Dann bleibt die alte Policy in Umlauf, bis sie abläuft.
Ein vergessener Mailserver. Im Durchsetzen-Modus lehnen sendende Server Zustellungen an jeden Host ab, der nicht in der Liste steht.
Zu früh durchsetzen. Dasselbe Muster wie bei DMARC: die strenge Stufe ohne vorherige Beobachtung kostet Mail.

Wenn beides eingerichtet ist, prüfen Sie es mit dem MTA-STS und TLS-RPT Check: der liest den Eintrag, holt die Policy wirklich ab, prüft das Zertifikat und vergleicht die Liste der Mailserver mit den tatsächlichen MX-Einträgen der Domain.

Häufige Fragen

Warum zwei Teile statt eines Eintrags?: Weil die Policy mehr Angaben enthält, als sinnvoll in einen DNS-Eintrag passen, und weil ihre Echtheit über das Zertifikat des Webservers abgesichert wird statt über DNSSEC. Der TXT-Eintrag ist nur der Wegweiser: er sagt, dass es eine Policy gibt und welche Fassung gerade gilt. Abgeholt wird sie über HTTPS.
Muss ich dafür einen eigenen Webserver betreiben?: Sie brauchen unter mta-sts.ihre-domain einen Namen, der über HTTPS erreichbar ist und ein gültiges Zertifikat für genau diesen Namen hat. Das kann ein bestehender Webserver mit einer zusätzlichen Konfiguration sein, ein statischer Hoster oder ein Dienst Ihres Anbieters. Ausgeliefert wird eine einzige Textdatei.
Womit fange ich an, testing oder enforce?: Mit testing. In diesem Modus meldet ein sendender Server Abweichungen, stellt aber normal zu. So sehen Sie, ob Ihre Liste der Mailserver vollständig ist, ohne Mail zu riskieren. Sinnvoll wird das zusammen mit TLS-RPT, denn erst darüber kommen die Meldungen bei Ihnen an. Danach stellen Sie auf enforce um.
Was gehört in die Liste der Mailserver?: Alle Hosts, die Mail für Ihre Domain annehmen, also in aller Regel genau die Namen aus Ihren MX-Einträgen. Betreibt Ihr Anbieter viele Maschinen unter einem gemeinsamen Namensschema, ist ein Muster wie *.example.net der richtige Weg; es deckt eine Ebene ab, nicht beliebig viele.
Was passiert, wenn ich die Policy später ändere?: Dann muss sich die Kennung im TXT-Eintrag ändern, sonst holen sendende Server die Datei nicht neu, sondern arbeiten bis zum Ablauf von max_age mit der alten Fassung. Dieser Generator berechnet die Kennung aus dem Inhalt der Policy: erzeugen Sie sie mit den geänderten Angaben neu, bekommen Sie automatisch eine neue Kennung und tragen beide Teile zusammen ein.
Wie nehme ich MTA-STS wieder zurück?: Nicht durch Löschen. Setzen Sie den Modus auf none und veröffentlichen Sie diese Policy mit neuer Kennung. Sendende Server, die noch die alte Fassung zwischengespeichert haben, erfahren so ausdrücklich, dass die Regel nicht mehr gilt. Erst wenn die alte Gültigkeitsdauer abgelaufen ist, können die Dateien weg.
Ändert der Generator etwas an meinem DNS oder Webserver?: Nein. Er erzeugt zwei Texte, die Sie selbst eintragen beziehungsweise ausliefern. Er fragt dafür auch nichts ab, sondern rechnet ausschließlich aus Ihren Angaben.