Was der Mailserver-Check prüft
Ob E-Mails ankommen, hängt an den MX-Einträgen. Ob sie unterwegs verschlüsselt und vor Manipulation geschützt sind, entscheiden STARTTLS, MTA-STS und DANE. SPF und DMARC schützen davor, dass andere in deinem Namen senden.
- MX: Jeder MX braucht eine A- oder AAAA-Adresse und darf kein CNAME sein. Ohne MX stellen Absender an die A-Adresse der Domain zu. Ein Null-MX (
0 .) sagt: Hier gibt es keine Mails. - Reverse-DNS: Für den Empfang nicht nötig. Verschickt derselbe Server auch Mails, sollte der PTR auf einen Namen zeigen, der wieder auf die Adresse auflöst (FCrDNS). Mehr dazu im Ratgeber Reverse-DNS für Mailserver.
- STARTTLS: Der Server muss es anbieten, sonst laufen Mails im Klartext. Ein selbstsigniertes Zertifikat akzeptieren die meisten Absender, mit MTA-STS oder für Gmail-Berichte brauchst du ein öffentlich gültiges.
MTA-STS und TLS-RPT
STARTTLS allein lässt sich unterdrücken: Ein Angreifer im Netz entfernt das Angebot, der Absender schickt unverschlüsselt. MTA-STS (RFC 8461) verhindert das. Du veröffentlichst per HTTPS eine Policy, welche MX gültig sind und dass TLS Pflicht ist. Absender merken sich die Policy für max_age Sekunden.
- TXT-Eintrag
_mta-sts.example.commitv=STSv1; id=20261113. Die id bei jeder Policy-Änderung erhöhen. - Die Datei
https://mta-sts.example.com/.well-known/mta-sts.txtmitversion,mode, je einermx-Zeile undmax_age. Gültiges Zertifikat für mta-sts.example.com, keine Weiterleitung. - Mit
mode: testingstarten und TLS-RPT (_smtp._tls) einrichten. Sind die Berichte ein paar Wochen sauber, aufenforceumstellen.
Wichtig: Fehlt ein MX in der Policy oder hat er ein ungültiges Zertifikat, stellen Absender im Modus enforce dorthin nicht mehr zu. Das Zertifikat des MX prüfst du im SSL-Check mit Port 25.
DANE
DANE (RFC 7672) bindet das Zertifikat per TLSA-Eintrag an den DNS. Das setzt DNSSEC für die Zone der MX voraus. Üblich ist 3 1 1, der SHA-256-Hash des öffentlichen Schlüssels. Wichtig beim Zertifikatswechsel: Den neuen TLSA-Eintrag vorher veröffentlichen, sonst stellen DANE-Absender nicht zu. Erzeugen und prüfen kannst du TLSA-Einträge unter CAA & DANE.
Port 25 von hier aus
Für die STARTTLS-Prüfung baut der Server eine SMTP-Verbindung auf Port 25 auf. Sperrt der Hoster diesen Port ausgehend, sagt das Werkzeug das. Dann hilft der openssl-Befehl unter dem Ergebnis.
FAQ
Was ist der Unterschied zwischen MTA-STS und DANE?
Beide erzwingen verschlüsselte Zustellung. MTA-STS verlässt sich auf HTTPS und öffentliche Zertifizierungsstellen und funktioniert ohne DNSSEC. DANE hinterlegt das Zertifikat im DNS und braucht DNSSEC. Google und Microsoft unterstützen MTA-STS, viele europäische Anbieter DANE. Beides zusammen ist möglich.
Brauche ich für MTA-STS einen Webserver?
Ja, unter mta-sts.deine-domain muss per HTTPS eine kleine Textdatei liegen. Ein beliebiger Webspace mit gültigem Zertifikat reicht, etwa eine Subdomain beim Hoster oder GitHub Pages.
Warum zeigt der Check „Port 25 nicht erreichbar“?
Entweder lässt die Firewall des Mailservers keine Verbindungen zu, oder unser Server kann Port 25 gerade nicht erreichen. Den zweiten Fall erkennt das Werkzeug mit einer Gegenprobe und sagt es dazu.
Wird beim Test eine E-Mail verschickt?
Nein. Die Verbindung endet direkt nach dem TLS-Handshake, noch vor dem Absender.
Wo prüfe ich DKIM?
DKIM hängt am Selektor des Absenders und lässt sich nicht für eine ganze Domain abfragen. Im Werkzeug SPF · DMARC · DKIM kannst du einen Selektor gezielt prüfen.