MTA-STS prüfen
MTA-STS-Konfiguration einer Domain prüfen: TXT-Record, Policy-Datei, mode, mx-Liste und max_age nach RFC 8461.
Methodik & Funktionsweise
Was wird geprüft?
Prüft die MTA-STS-Konfiguration (RFC 8461) einer Domain: TXT-Record + HTTPS-Policy + Validierung von mode, mx-Liste und max_age.
Wie funktioniert es?
Parallel: TXT-Lookup an _mta-sts.<domain> (v=STSv1; id=...) und HTTPS-Fetch auf mta-sts.<domain>/.well-known/mta-sts.txt. Policy-Datei wird zeilenweise geparst (version, mode, mx, max_age). Issues: TXT ohne id, fehlende HTTPS-Policy, mode=none oder testing, max_age unter 1 Tag, keine MX-Einträge.
Beispiel-Ergebnis
google.com → mode=enforce, max_age=86400, mx=[smtp.google.com, ...] (0 Issues)
Hinweise
Updates an der Policy werden über das id-Feld im TXT signalisiert — die HTTP-Policy enthält selbst keinen id-Wert. Vergisst man, id zu erhöhen, holen sich Empfänger die Policy nicht neu.
Was ist MTA-STS?
MTA-STS (RFC 8461) zwingt sendende Mailserver, deinen MX nur über validiertes TLS zu erreichen. Der Checker prüft parallel zwei Bausteine: den TXT-Record an _mta-sts.<domain> und die HTTPS-Policy-Datei auf mta-sts.<domain>/.well-known/mta-sts.txt mit version, mode, mx-Liste und max_age. Häufige Befunde: fehlende id im TXT (Updates werden nicht erkannt), Policy nicht über HTTPS erreichbar, mode=testing oder none statt enforce, max_age unter 86400.
MTA-STS korrekt aufsetzen
- 1TXT-id bei jedem Policy-Update erhöhen.
- 2Policy-Datei nur über HTTPS mit gültigem Zertifikat ausliefern.
- 3max_age in Produktion auf 604800 setzen.
- 4TLS-RPT parallel aktivieren.