tls.dane.mismatch

DANE/TLSA-Nichtübereinstimmung

Was wir prüfen

Wir rufen die TLSA-Einträge für jeden MX-Hostnamen ab, prüfen die DNSSEC-Validierung (AD-Bit des Upstream-Resolvers) und gleichen sie mit dem vom Server präsentierten TLS-Zertifikat ab. Dieses Ergebnis erscheint, wenn ein prüfbarer TLSA-Eintrag existiert, DNSSEC validiert, aber das Zertifikat nicht zum TLSA-Constraint passt.

Was dieses Ergebnis bedeutet

Die Domain veröffentlicht einen DANE/TLSA-Eintrag, der DNSSEC-signiert und strukturell gültig ist, aber das Zertifikat des Mailservers stimmt nicht damit überein. Das ist eine echte Fehlkonfiguration: DANE-erzwingende Absender verweigern die Mailzustellung, weil die DNS-veröffentlichte Zertifikatserwartung und das tatsächliche Zertifikat nicht übereinstimmen.

Typische Ursachen: Das Zertifikat wurde erneuert oder ersetzt, ohne den TLSA-Eintrag zu aktualisieren, oder der TLSA-Eintrag wurde von einem anderen Server kopiert.

Warum das wichtig ist

Bricht Zustellung für DANE-Absender. Postfix (der häufigste DANE-erzwingende MTA) und andere DANE-fähige Absender lehnen die Verbindung sofort ab — sie vertrauen dem DNSSEC-signierten TLSA-Eintrag mehr als dem Live-Zertifikat.
Schlimmer als kein DANE. Ohne TLSA-Einträge fallen DANE-Absender auf opportunistisches TLS zurück. Mit einem nicht übereinstimmenden TLSA-Eintrag erzwingen sie eine Prüfung, die fehlschlägt — die Zustellung stoppt.
Sofortiges Handeln nötig. Das ist kein theoretisches Risiko — Mail bounced aktiv für DANE-erzwingende Absender.

So behebst du das

Ermittle den aktuellen Zertifikats-Hash:

openssl s_client -starttls smtp -connect mail.example.com:25 \
    -servername mail.example.com 2>/dev/null | \
    openssl x509 -noout -pubkey | openssl pkey -pubin -outform DER | sha256sum

Aktualisiere den TLSA-Eintrag, sodass er zum aktuellen Zertifikat passt:
```
_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <neuer-hash>
```
Bei automatischen Erneuerungen (Let's Encrypt) erwäge TLSA-Usage 2 (DANE-TA, Abgleich mit der CA) oder das Vorveröffentlichen des Hashs des nächsten Zertifikats vor der Erneuerung.

Prüfe:

dig +short TLSA _25._tcp.mail.example.com
# Vergleiche mit dem Hash aus Schritt 1

So fließt es in die Bewertung ein

Eine DANE/TLSA-Nichtübereinstimmung kostet 15 Punkte in der TLS-Kategorie. Das vollständige Scoring-Modell steht in der Bewertungsmethodik.

Evidenzbeispiel

TLSA-Eintrag: 3 1 1 a1b2c3d4e5f6...
Zertifikats-SPKI-Hash: f6e5d4c3b2a1...
NICHTÜBEREINSTIMMUNG — DANE-erzwingende Absender verweigern die Zustellung