Hoe stel ik MTA-STS en TLS-RPT in voor mijn domein?

Wat beschermt MTA-STS?

Met MTA-STS kan een maildomein verklaren dat het TLS ondersteunt en dat afzenders de bezorging moeten weigeren aan elke MX-host die geen geldig certificaat kan tonen. RFC 8461, een Proposed Standard van september 2018, definieert het. Zonder MTA-STS is codering tussen servers opportunistisch: een afzender probeert STARTTLS en verstuurt het bericht, als een aanvaller dat eraf haalt, in leesbare tekst.

Met een beleid in de modus enforce haalt een afzender die MTA-STS ondersteunt uw beleid op, controleert of de MX-host in de mx-lijst staat en eist een geldige TLS-verbinding met een certificaat dat overeenkomt. Als een controle mislukt, wacht het bericht en wordt het niet via een zwakker kanaal bezorgd. Het beschermt alleen inkomende e-mail en werkt alleen bij afzenders die het implementeren. Het authenticeert geen berichten: dat is de taak van de records in SPF versus DKIM versus DMARC.

Wat staat er in het beleidsbestand?

Het beleidsbestand is een tekstbestand met regels in de vorm sleutel: waarde, met de versie, de modus, de toegestane MX-patronen en een levensduur in seconden. RFC 8461 definieert deze velden. version moet STSv1 zijn. mode is enforce (afzenders mogen niet bezorgen aan hosts die de controles niet doorstaan), testing (bezorging mag doorgaan, en afzenders die TLS-RPT ondersteunen sturen foutrapporten) of none (alsof er geen beleid bestond). Elke mx-regel noemt een host volledig, bijvoorbeeld mail.protonmail.ch, of gebruikt een wildcard op het meest linkse label, zoals *.example.net. max_age is een aantal seconden, hoogstens 31,557,600, en de RFC zegt dat het doorgaans weken of meer zou moeten zijn. Het voorbeeld ervan gebruikt 604800, één week.

Het bestand moet via HTTPS worden aangeboden op mta-sts.uwdomein met een certificaat dat voor die naam geldig is. Alleen een HTTP 200-antwoord telt en omleidingen mogen niet worden gevolgd, wat URL-doorsturing uitsluit, een dienst die met een omleiding antwoordt. Het bestand moet als text/plain worden verstuurd. Gebruik een kleine webhost of een statische paginahost die u beheert. De mx-regels moeten overeenkomen met de records van uw aanbieder, zoals vermeld in wat een MX-record is.

Wat zijn de id en de volgorde van bijwerken?

De id in het TXT-record is een label van 1 tot 32 letters en cijfers dat moet veranderen telkens als het beleid verandert, zodat afzenders weten dat ze het bestand opnieuw moeten ophalen. RFC 8461 zegt dat het één exemplaar van een beleid identificeert en dat er geen volgorde tussen id's bestaat, dus een datum-tijdstempel werkt goed.

Werk in deze volgorde bij: publiceer eerst het nieuwe beleidsbestand en wijzig daarna de id. Een afzender die de nieuwe id ziet vóór het nieuwe bestand, zou het oude beleid opnieuw cachen. Als u van e-mailaanbieder wisselt, veranderen ook de MX-hosts: pas dus de mx-regels aan voordat u de MX-records wijzigt, houd de oude hosts tijdens de overstap in de lijst en verhoog de id. Een vergeten mx-regel in de modus enforce houdt e-mail tegen, en de overstapgids hoe u e-mail naar een nieuwe aanbieder verhuist geeft de veilige volgorde voor de rest.

Wat is TLS-RPT en wat staat er in de rapporten?

TLS-RPT is een rapportageformaat, RFC 8460, waarmee verzendende servers u elke dag laten weten hoeveel TLS-verbindingen naar uw domein zijn geslaagd of mislukt. U publiceert een TXT-record op _smtp._tls.uwdomein met v=TLSRPTv1 en een rua-veld met een mailto:- of https:-adres. Mailto-rapporten moeten een geldige DKIM-handtekening van het rapporterende domein bevatten.

Elk rapport is een JSON-document over één UTC-dag. Het noemt het toegepaste beleid (MTA-STS, DANE of geen), telt geslaagde en mislukte sessies en geeft het type fout, zoals certificate-expired of starttls-not-supported, met de IP-adressen van verzender en ontvanger. Zo komt u te weten dat een certificaat is verlopen of dat een mx-regel een typefout bevat, voordat u overschakelt naar enforce. Beschouw de eerste weken als de proefperiode die ook voor DMARC wordt aanbevolen.

Heb ik MTA-STS nodig voor een persoonlijk e-maildomein?

Nee: MTA-STS is optionele extra beveiliging en de regels van de grote afzenders vereisen het niet. Google, Yahoo en Microsoft vragen van bulkverzenders SPF, DKIM en DMARC en noemen MTA-STS niet. Voor een persoonlijk domein bij Proton Mail, Fastmail of Mailbox.org is de opzet alleen de moeite waard als u het onderhoud van een webhost en een certificaat accepteert.

Aanbieders verschillen. Volgens de lezing door Postelva op 12 november 2026 van de DNS-opzetlijsten van 4 aanbieders (Proton Mail, Tuta, Mailbox.org en Fastmail) vermeldt 1 een MTA-STS-record in de eigen opzet (Tuta, een CNAME), en de helppagina's die voor de andere drie zijn gelezen, documenteren er geen. De hele opzet bestaat uit 3 DNS-records en 1 bestand. Controleer elk ervan met de opdrachten in hoe u MX-, SPF-, DKIM- en DMARC-records controleert: dig TXT _mta-sts.example.com +short en dig TXT _smtp._tls.example.com +short.

Een citeerbare definitie: MTA-STS is het beleid dat TLS verplicht maakt wanneer andere servers e-mail aan uw domein bezorgen, en TLS-RPT is het dagelijkse rapport dat u laat weten wanneer dat mislukt.