DANE und TLSA-Records
Eine Möglichkeit, das Zertifikat Ihres Mailservers im DNS zu hinterlegen, mit DNSSEC signiert, damit sendende Server es prüfen können, ohne einer Zertifizierungsstelle zu vertrauen.
DANE veröffentlicht einen Hash des Zertifikats oder des öffentlichen Schlüssels Ihres Mailservers in einem TLSA-Record unter _25._tcp.<mail host>. Ein sendender Server, der DANE unterstützt, schlägt den Record nach, verbindet sich über TLS und prüft, ob das vorgezeigte Zertifikat passt. Wenn nicht, wird die Zustellung verweigert statt auf unverschlüsselt zurückzufallen.
Der Record besteht aus drei Zahlen und einem Hash: Usage (3 heißt „genau diesem Zertifikat vertrauen“, 2 „dieser CA vertrauen“), Selector (1 = nur der öffentliche Schlüssel, 0 = das ganze Zertifikat) und Matching Type (1 = SHA-256). 3 1 1 mit dem SHA-256 des öffentlichen Schlüssels ist die übliche Wahl, weil der Record so Zertifikatserneuerungen übersteht, die den Schlüssel beibehalten.
DANE hat nur dann eine Bedeutung, wenn der TLSA-Record per DNSSEC validiert wird; unsignierte Records werden ignoriert. Signieren Sie zuerst die Zone, veröffentlichen Sie dann den Record, und prüfen Sie nach jedem Zertifikatswechsel nach, denn ein veralteter Record lässt Absender, die DANE durchsetzen, Ihre Mails abweisen.