2. Een MTA-STS-beleid maken

Stel MTA-STS in voor uw domeinen door voor elk domein een beleid te maken en te publiceren. Het beleid definieert de e-mailservers in het domein waarin MTA-STS wordt gebruikt.

Elk domein moet een eigen beleidsbestand hebben. De beleidsregels kunnen hetzelfde zijn, maar ze moeten afzonderlijk worden gehost voor elk domein dat MTA-STS gebruikt.

Serververeisten voor MTA-STS

Controleer het volgende voor je e-mailservers die inkomende e-mail krijgen:

• Ze vereisen dat e-mails via een beveiligde verbinding (TLS) worden gestuurd.
• Ze gebruiken TLS-versie 1.2 of hoger
• De TLS-servercertificaten:
  • Komt overeen met de domeinnaam die wordt gebruikt door de inkomende e-mailserver (de server in je MX-records).
  • zijn ondertekend en worden vertrouwd door een rootcertificeringsinstantie,
  • zijn niet verlopen.

Ga naar Google Workspace-certificaten gebruiken voor beveiligde overdracht (TLS) voor meer informatie over TLS-certificaten.

Beleidsmodi voor MTA-STS

U kunt een MTA-STS-beleid instellen in de modus testen of afdwingen.

Testmodus

In de testmodus wordt externe e-mailservers gevraagd u dagelijkse rapporten te sturen. De rapporten bevatten informatie over problemen die zijn gevonden bij het maken van een verbinding met uw domein. Rapporten bevatten gedetecteerd MTA-STS-beleid, verkeersstatistieken, mislukte verbindingen en details van niet-verstuurde berichten.

In de testmodus vraagt uw domein alleen om rapporten. In deze modus wordt geen verbindingsbeveiliging afgedwongen die vereist is door MTA-STS. We raden u aan 2 weken in de testmodus te beginnen. 2 weken aan rapportgegevens is genoeg om problemen met uw domein te ontdekken en op te lossen.

Gebruik de informatie in de dagelijkse rapporten om versleutelings- of andere beveiligingsproblemen met uw server of domein op te lossen. Wijzig het beleid vervolgens in de modus Afdwingen.

Afgedwongen modus

Als het beleid in de afdwingingsmodus staat, vraagt uw domein externe servers om te verifiëren of de SMTP-verbinding zowel versleuteld als geverifieerd is.

Als de verbinding niet is versleuteld en geverifieerd, gebeurt het volgende:

• Servers die MTA-STS ondersteunen, sturen geen e-mails naar uw domein.
• Servers die MTA-STS niet ondersteunen, blijven berichten naar uw domein sturen via SMTP-verbindingen, zoals ze normaal doen. Deze SMTP-verbindingen zijn misschien niet versleuteld.

In de afdwingingsmodus blijft u de dagelijkse rapporten van externe servers krijgen.

Een beleidsbestand maken

Het beleidsbestand is een plattetekstbestand dat sleutel- en waardeparen bevat. Elk paar moet op een eigen regel in het tekstbestand staan, zoals in het voorbeeld hieronder. Het beleidstekstbestand mag maximaal 64 KB zijn.

Bestandsnaam beleid: De bestandsnaam voor het tekstbestand moet mta-sts.txt zijn.

Beleidsbestanden updaten: Update het beleidsbestand elke keer dat je e-mailservers toevoegt of wijzigt, of het domein wijzigt.

Indeling van beleidsbestand: Het veld version moet op de eerste regel van het beleid staan. De andere velden kunnen in willekeurige volgorde staan. Hier volgt een voorbeeld van een beleidsbestand:

version: STSv1
mode: testing
mx: mail.solarmora.com
mx: *.solarmora.net
mx: backupmx.solarmora.com
max_age: 604800

Inhoud van beleidsbestand: Het beleid moet al deze sleutel-waardeparen bevatten. Als u een beleid wilt dat is aangepast aan uw domein, volgt u de stappen in De MTA-STS-status controleren en voorgestelde configuraties krijgen.

Volgende stappen

Uw MTA-STS-beleid publiceren