Outil gratuit
DANE permet à un serveur expéditeur de vérifier le certificat de votre serveur mail via le DNS au lieu de faire confiance à une AC, et refuse de retomber en clair. Cela ne fonctionne que si les enregistrements TLSA sont signés avec DNSSEC. Cette vérification lit les hôtes MX, les enregistrements TLSA sur _25._tcp de chacun, et si un résolveur validant s’en porte garant. DNS seulement ; aucune connexion SMTP n’est faite, le certificat lui-même n’est donc pas comparé.
Ce qui est vérifié
Un enregistrement TLSA sur _25._tcp.hôtemail a trois chiffres et un hash : l’usage (3 = faire confiance à ce certificat exact, 2 = à cette AC, 0/1 = exiger en plus la validation AC normale), le sélecteur (0 = certificat entier, 1 = clé publique seule) et le type de correspondance (1 = SHA-256, 2 = SHA-512, 0 = données complètes). « 3 1 1 » avec le SHA-256 de la clé publique est le choix courant : il survit aux renouvellements tant que la clé est conservée. L’enregistrement n’a de sens que si toute la chaîne depuis la racine est signée DNSSEC ; sans cela, les expéditeurs ne regardent même pas.
Outils liés
Boîtes mail au Luxembourg
NovaNode Mail vous donne les enregistrements MX, SPF, DKIM et DMARC à copier dans votre DNS, avec des boîtes mail stockées au Luxembourg.
