Over MTA-STS en TLS-rapportage

Verhoog de beveiliging van Gmail door MTA Strict Transport Security (MTA-STS) aan te zetten voor uw domein. MTA-STS verbetert de beveiliging van Gmail door verificatiecontroles en versleuteling te vereisen voor e-mails die naar uw domein worden gestuurd. Gebruik Transport Layer Security-rapportage (TLS) om informatie te verkrijgen over externe serververbindingen met uw domein.

Net als alle andere e-mailproviders maakt Gmail gebruik van SMTP (Simple Mail Transfer Protocol) voor het verzenden en ontvangen van berichten. SMTP alleen biedt geen beveiliging en veel SMTP-servers zijn niet voorzien van extra beveiliging om schadelijke aanvallen te voorkomen.

SMTP is bijvoorbeeld kwetsbaar voor man-in-the-middle-aanvallen. Bij dit type aanval wordt de communicatie tussen twee servers onderschept en mogelijk zonder detectie gewijzigd. Het gebruik van MTA-STS om e-mailserververbindingen te beveiligen, helpt dit soort aanvallen te voorkomen.

Meer informatie over MTA-STS (RFC 8461) en TLS-rapportage (RFC 8460).

Google raadt u aan aanvullende methoden voor e-mailverificatie in te stellen voor uw account, waaronder DKIM, SPF en DMARC. Meer informatie over aanbevolen methoden voor e-mailverificatie

E-mailbeveiliging met MTA-STS

SMTP-verbindingen voor e-mail zijn beter beveiligd als de verzendende server MTA-STS ondersteunt en de ontvangende server een MTA-STS-beleid heeft in de handhavingsmodus.

E-mail ontvangen: Als u MTA-STS aanzet voor uw domein, vraagt u externe e-mailservers alleen berichten naar uw domein te sturen als de SMTP-verbinding aan beide van de volgende voorwaarden voldoet:

  • Geverifieerd met een geldig, openbaar certificaat
  • Versleuteld met TLS 1.2 of hoger

E-mailservers die MTA-STS ondersteunen, sturen alleen berichten naar uw domein via verbindingen die verificatie en versleuteling gebruiken.

E-mail sturen: Gmail-berichten van uw domein voldoen aan MTA-STS als ze worden gestuurd naar externe servers die een MTA-STS-beleid afdwingen.

TLS-rapportage

Als u TLS-rapportage aanzet, vraagt u dagelijkse rapporten aan van externe e-mailservers die verbinding maken met uw domein. De rapporten bevatten informatie over verbindingsproblemen die de externe servers tegenkomen bij het sturen van e-mails naar uw domein. Gebruik de rapportgegevens om beveiligingsproblemen met uw e-mailserver te achterhalen en op te lossen.

Stappen voor het instellen van MTA-STS- en TLS-rapportage

  1. Controleer de MTA-STS-configuratie voor uw domein.
  2. Maak een MTA-STS-beleid.
  3. Publiceer het MTA-STS-beleid.
  4. Voeg DNS TXT-records toe om MTA-STS en TLS-rapportage aan te zetten.

Ga nu aan de slag

Meer informatie over MTA-STS en TLS-rapporten

Hoe verbetert MTA-STS de beveiliging van e-mail?

SMTP-beveiliging is optioneel, en volgens de internetnormen is het vereist dat SMTP platte-tekstverbindingen accepteert. SMTP alleen ondersteunt de best mogelijke e-mailbezorging. Er is geen garantie dat berichten worden bezorgd of dat een minimale servicekwaliteit wordt gehandhaafd. SMTP ondersteunt TLS, maar veel SMTP-servers maken geen gebruik van TLS. Ze zijn dus niet beveiligd.

Veelvoorkomende beveiligingsproblemen met SMTP-servers zijn:

  • Verlopen TLS-certificaten
  • Certificaten die niet overeenkomen met serverdomeinnamen
  • Certificaten niet zijn uitgegeven door vertrouwde derde partijen
  • Geen ondersteuning voor beveiligde protocollen

Gebrek aan veiligheid betekent dat SMTP-verbindingen bloot staan aan man-in-the-middle-aanvallen en andere typen schadelijke aanvallen. De meeste e-mailproviders proberen berichten te sturen via SMTP-verbindingen die gebruikmaken van TLS. Als er echter geen TLS-verbinding kan worden gemaakt, sturen die servers het bericht vaak toch.

Met MTA-STS kunnen de servers geen berichten verzenden, tenzij aan de volgende voorwaarden wordt voldaan:

  • De verzendende server ondersteunt MTA-STS.
  • De ontvangende server heeft een gepubliceerd MTA-STS-beleid dat wordt afgedwongen.

Gerelateerde informatie

Waarom zou ik TLS-rapporten gebruiken?

Bij TLS-rapportage sturen externe e-mailservers u dagelijks rapporten over de verbindingen met de e-mailservers van uw domein. De rapporten kunnen worden gemaild of geüpload naar een webserver. Gebruik de rapporten om inzicht te krijgen in problemen die externe servers kunnen ondervinden bij het sturen van berichten naar uw domein.

Rapporten bevatten informatie over de MTA-STS-status en de verbindingsstatus van de e-mailservers van uw domein, waaronder:

  • MTA-STS-beleid dat wordt gedetecteerd
  • Verkeerstatistieken
  • Mislukte verbindingen
  • Berichten die niet kunnen worden gestuurd.

Stel uw beleid in op de testmodus voordat uw domein MTA-STS-versleuteling en -verificatie afdwingt. Neem de dagelijkse rapporten door om verbindingsproblemen met uw domein op te sporen en op te lossen. Wijzig het beleid daarna in de modus Afdwingen. Meer informatie over beleidsmodi voor MTA-STS.

U ontvangt mogelijk niet veel rapporten totdat TLS-rapportage algemener wordt gebruikt door e-mailproviders.

Gerelateerde informatie

  • Volg deze stappen om TLS-rapportage aan te zetten.
  • Meer informatie over TLS-rapporten in RFC 8460.