MTA-STS
Eine über DNS und HTTPS veröffentlichte Policy, die sendenden Servern vorschreibt, nur über TLS und mit gültigem Zertifikat an Ihren Mailserver zuzustellen, oder gar nicht.
Mail zwischen Servern nutzt TLS, wenn beide Seiten es anbieten, aber der Standard ist opportunistisch: Wenn das Zertifikat falsch ist oder ein Angreifer das TLS-Angebot entfernt, fällt die Zustellung auf Klartext zurück. MTA-STS schließt diese Lücke für Mail, die an Sie gesendet wird.
Es besteht aus zwei Teilen. Ein DNS-TXT-Record unter _mta-sts.<domain> kündigt an, dass eine Policy existiert, und trägt eine id, die Sie bei jeder Aktualisierung ändern. Eine Policy-Datei unter https://mta-sts.<domain>/.well-known/mta-sts.txt listet Ihre MX-Hosts und einen Modus: testing, enforce oder none. Ein Absender, der MTA-STS unterstützt, holt die Datei, cached sie für max_age Sekunden und verweigert im Modus enforce die Zustellung, wenn TLS fehlschlägt oder das Zertifikat zu keinem MX in der Liste passt.
Der begleitende Record TLS-RPT (_smtp._tls.<domain>) gibt Absendern eine Adresse für tägliche Berichte über TLS-Fehler, und so erfahren Sie, dass Ihre Policy Mails blockiert, bevor Ihre Benutzer es merken. DANE erledigt dieselbe Aufgabe über DNSSEC statt HTTPS; die beiden können nebeneinander bestehen.