Kostenloses Tool
Mit DANE prüft ein sendender Server das Zertifikat Ihres Mailservers über das DNS statt über eine CA und verweigert den Rückfall auf Klartext. Das funktioniert nur, wenn die TLSA-Records mit DNSSEC signiert sind. Dieser Check liest die MX-Hosts, die TLSA-Records unter _25._tcp jedes Hosts und ob ein validierender Resolver dafür bürgt. Nur DNS; es wird keine SMTP-Verbindung aufgebaut, das Zertifikat selbst wird also nicht verglichen.
Was geprüft wird
Ein TLSA-Record unter _25._tcp.mailhost hat drei Zahlen und einen Hash: Usage (3 = genau diesem Zertifikat vertrauen, 2 = dieser CA, 0/1 = zusätzlich normale CA-Validierung verlangen), Selector (0 = ganzes Zertifikat, 1 = nur öffentlicher Schlüssel) und Matching Type (1 = SHA-256, 2 = SHA-512, 0 = volle Daten). „3 1 1“ mit dem SHA-256 des öffentlichen Schlüssels ist die übliche Wahl: sie übersteht Erneuerungen, solange der Schlüssel bleibt. Der Record ist nur sinnvoll, wenn die ganze Kette von der Root bis zu ihm DNSSEC-signiert ist; sonst schauen Sender gar nicht erst hin.
Verwandte Tools
Postfächer in Luxemburg
NovaNode Mail gibt Ihnen die MX-, SPF-, DKIM- und DMARC-Einträge zum Kopieren in Ihr DNS, mit Postfächern in Luxemburg.
