Birgt die Analyse ein Risiko für die Domain?

Nein. Der Prüfer liest nur öffentliche Daten: zwei DNS-Einträge und eine standardisierte Richtliniendatei, die von jedem sendenden Server abgerufen werden soll. Es wird nichts verändert.

Was ist der Unterschied zwischen „testing“ und „enforce“?

Im Modus „testing“ wird eine Verbindung, die bei TLS scheitert, dennoch akzeptiert (die Richtlinie wird nur beobachtet, mit Reporting über TLS-RPT). Im Modus „enforce“ wird eine nicht konforme Verbindung abgelehnt — das ist der Modus, der tatsächlich schützt.

Ersetzt MTA-STS DMARC?

Nein, sie ergänzen sich. DMARC schützt vor Spoofing der Absenderdomain; MTA-STS schützt die Verschlüsselung des Transports eingehender Nachrichten. Eine gesunde Haltung kombiniert beides.

TLS-Verschlüsselung des Transports

Kostenloser MTA-STS-Prüfer

Ein wirklich verschlüsselter E-Mail-Transport.

MTA-STS schützt eingehende E-Mails vor TLS-Downgrade; TLS-RPT meldet Fehler. Dieser Prüfer liest den DNS-Eintrag, ruft die veröffentlichte Richtlinie ab und gibt deren Modus an.

Kostenlos
Ohne Konto
Sofortiges Ergebnis
Nur öffentliche Daten

Eine Domain analysieren

So funktioniert es

1
Domain eingeben
Geben Sie die zu analysierende Domain ein. Kein Konto, kein Eigentumsnachweis: alles Gelesene ist öffentlich.
2
Öffentliche Daten werden gelesen
Der Prüfer liest die Einträge „_mta-sts“ und „_smtp._tls“ und ruft dann die per HTTPS veröffentlichte Richtliniendatei ab.
3
Sofortiges Urteil
Der MTA-STS-Modus (enforce, testing oder none) und ob TLS-RPT vorhanden ist, erscheinen auf dem Bildschirm. Ein kostenloses Konto ermöglicht dann die Überwachung.

Warum das wichtig ist

DMARC schützt vor Absender-Spoofing; MTA-STS und TLS-RPT schützen den Transport. Ohne MTA-STS im Modus „enforce“ kann ein Netzwerk-Angreifer eine Klartext-Zustellung erzwingen und Nachrichten lesen oder verändern. Eine „enforce“-Richtlinie zu veröffentlichen und TLS-RPT zu aktivieren, vervollständigt die E-Mail-Haltung über die Authentifizierung hinaus.

Herabstufung auf Klartext

Ohne Modus „enforce“ kann ein Netzwerk-Angreifer eine unverschlüsselte SMTP-Zustellung erzwingen.

Abfangbarer Transport

Eine Klartextverbindung legt den Inhalt eingehender Nachrichten dem Lesen oder Verändern offen.

Unsichtbare TLS-Fehler

Ohne TLS-RPT wird kein Signal gemeldet, wenn die Transportverschlüsselung scheitert.

MTA-STS und TLS-RPT

MTA-STS (RFC 8461) erzwingt die TLS-Verschlüsselung eingehender SMTP-Verbindungen — es verhindert, dass ein Angreifer eine Klartextverbindung erzwingt. Es wird durch einen DNS-Eintrag „_mta-sts.Domain“ und eine unter „mta-sts.Domain/.well-known/mta-sts.txt“ veröffentlichte Richtlinie deklariert, deren Modus „enforce“ (angewandt), „testing“ (beobachtet) oder „none“ (deaktiviert) ist. TLS-RPT (RFC 8460), deklariert unter „_smtp._tls.Domain“, meldet die von Sendern beobachteten TLS-Fehler.

Zum Merken — Nur der Modus „enforce“ schützt wirklich; „testing“ beobachtet bloß. MTA-STS ergänzt DMARC, es ersetzt es nicht.

So funktioniert der Prüfer

Der Prüfer liest die öffentlichen DNS-Einträge „_mta-sts“ und „_smtp._tls“ und ruft dann die per HTTPS veröffentlichte MTA-STS-Richtliniendatei ab (Weiterleitungen abgelehnt, Körper begrenzt). Er liest ausschließlich öffentliche, standardisierte Daten — die Richtliniendatei ist gerade dafür gedacht, von jedem sendenden Server abgerufen zu werden. Das Ergebnis nennt den MTA-STS-Modus und ob TLS-RPT-Reporting vorhanden ist.

Häufige Fragen

Birgt die Analyse ein Risiko für die Domain?: Nein. Der Prüfer liest nur öffentliche Daten: zwei DNS-Einträge und eine standardisierte Richtliniendatei, die von jedem sendenden Server abgerufen werden soll. Es wird nichts verändert.
Was ist der Unterschied zwischen „testing“ und „enforce“?: Im Modus „testing“ wird eine Verbindung, die bei TLS scheitert, dennoch akzeptiert (die Richtlinie wird nur beobachtet, mit Reporting über TLS-RPT). Im Modus „enforce“ wird eine nicht konforme Verbindung abgelehnt — das ist der Modus, der tatsächlich schützt.
Ersetzt MTA-STS DMARC?: Nein, sie ergänzen sich. DMARC schützt vor Spoofing der Absenderdomain; MTA-STS schützt die Verschlüsselung des Transports eingehender Nachrichten. Eine gesunde Haltung kombiniert beides.

Verschlüsselter E-Mail-Transport

MTA-STS analysieren

Kostenlos und sofort — nur öffentliche Daten, kein Konto erforderlich.