Gratis tool
Met DANE controleert een verzendende server het certificaat van uw mailserver via DNS in plaats van een CA te vertrouwen, en weigert hij terug te vallen op klare tekst. Het werkt alleen als de TLSA-records met DNSSEC ondertekend zijn. Deze check leest de MX-hosts, de TLSA-records op _25._tcp van elke host en of een validerende resolver ervoor instaat. Alleen DNS; er wordt geen SMTP-verbinding gemaakt, het certificaat zelf wordt dus niet vergeleken.
Wat er wordt gecontroleerd
Een TLSA-record op _25._tcp.mailhost heeft drie getallen en een hash: usage (3 = vertrouw precies dit certificaat, 2 = deze CA, 0/1 = eis daarbovenop normale CA-validatie), selector (0 = hele certificaat, 1 = alleen publieke sleutel) en matching type (1 = SHA-256, 2 = SHA-512, 0 = volledige gegevens). “3 1 1” met de SHA-256 van de publieke sleutel is de gangbare keuze: het overleeft vernieuwingen zolang de sleutel blijft. Het record heeft alleen zin als de hele keten van de root tot daar DNSSEC-ondertekend is; anders kijken verzenders er niet eens naar.
Verwante tools
Mailboxen in Luxemburg
NovaNode Mail geeft u de MX-, SPF-, DKIM- en DMARC-records om in uw DNS te plakken, met mailboxen opgeslagen in Luxemburg.
