bonus.mtasts.enforce
MTA-STS erzwungen
Was wir prüfen
Wir rufen die MTA-STS-Richtliniendatei ab und prüfen, ob ihr Modus auf enforce gesetzt ist. Dieses Bonus-Ergebnis erscheint in der Bonuskategorie, wenn MTA-STS-Erzwingung aktiv ist.
Was dieses Ergebnis bedeutet
Die Domain veröffentlicht eine MTA-STS-Richtlinie mit mode: enforce. Sendende Server, die MTA-STS unterstützen, verlangen TLS für Verbindungen zu den MX-Hosts dieser Domain und prüfen das Serverzertifikat — sie verweigern die Zustellung im Klartext oder an einen Server mit ungültigem Zertifikat.
Warum das wichtig ist
- Aktiver Downgrade-Schutz. Mit
mode: enforcekann ein Netzwerkangreifer weder STARTTLS entfernen noch ein gefälschtes Zertifikat präsentieren — konforme Absender verweigern die Zustellung, statt herabzustufen. - Kein DNSSEC erforderlich. Anders als DANE funktioniert MTA-STS ohne DNSSEC. Die Richtlinie wird über HTTPS abgerufen, was es für jede Domain mit Standard-Webhosting einsetzbar macht.
- Bonus-Anerkennung. Aktive MTA-STS-Erzwingung trägt positiv zur Gesamtbewertung bei und würdigt die Investition in Transportsicherheitsinfrastruktur.
Evidenzbeispiel
Richtlinie: https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: enforce
mx: *.example.com
max_age: 604800
MTA-STS erzwungen — Bonus vergeben