Was ist TLS-RPT?

Einfach erklärt

TLS-RPT ist ein Rückmeldekanal. Sie veröffentlichen zu Ihrer Domain eine Adresse, und sendende Mailserver schicken Ihnen dorthin regelmäßig eine Zusammenfassung: Wie viele Mails konnten sie Ihnen verschlüsselt zustellen, und wo gab es Probleme? So fallen Fehler auf, bevor Mails verloren gehen.

Wann es sich lohnt

Vor allem zusammen mit MTA-STS. Wer MTA-STS einführt, sieht über die Berichte, ob die Regel funktioniert, bevor er sie scharf schaltet. Auch ohne MTA-STS zeigen die Berichte, ob Ihr Mailserver ein gültiges Zertifikat vorlegt.

Was Sie tun können

Ihr IT-Dienstleister legt den Eintrag an und nennt eine Postfachadresse für die Berichte. Die Berichte sind technische Dateien, für die Auswertung braucht es ein Werkzeug oder einen Dienstleister.

Was TLS-RPT nicht kann

TLS-RPT verändert nichts an der Zustellung. Es berichtet nur. Berichte kommen außerdem nur von Servern, die TLS-RPT unterstützen.

Eintrag

TLS-RPT nach RFC 8460 ist ein TXT-Eintrag unter _smtp._tls.<domain>. Ziel ist eine Mailadresse oder ein HTTPS-Endpunkt:

_smtp._tls.ihre-firma.de.  IN  TXT  "v=TLSRPTv1; rua=mailto:tls-berichte@ihre-firma.de"

Inhalt der Berichte

Sendende Organisationen schicken in der Regel einmal täglich einen JSON-Bericht, meist gzip-komprimiert. Er enthält je Richtlinie (sts, tlsa oder no-policy-found) die Zahl erfolgreicher und fehlgeschlagener Sitzungen und die Fehlerarten, etwa:

• starttls-not-supported
• certificate-expired, certificate-host-mismatch, certificate-not-trusted
• validation-failure
• sts-policy-fetch-error, sts-policy-invalid, sts-webpki-invalid

Typische Fehler

• Berichtsadresse ohne Postfach. Die Berichte gehen ins Leere, Fehler bleiben unbemerkt.
• Berichte gehen ins normale Postfach. Bei vielen Absendern sind es täglich mehrere Dateien. Ein eigenes Postfach oder ein Auswertungsdienst ist sinnvoll.
• Tippfehler im Ziel. Ist rua keine gültige mailto:- oder https:-Adresse, ist der Eintrag wirkungslos.

Prüfen

dig +short TXT _smtp._tls.ihre-firma.de