Skip to content
Starten Sie mit 100 kostenlosen Verifizierungs-Credits
Qualisend
Kostenloses Tool

MTA-STS- & TLS-RPT-Generator.

Erzwingen Sie die verschlüsselte Zustellung Ihrer eingehenden E-Mails. Geben Sie Ihre Domain und Ihre MX-Hosts ein und erhalten Sie alle drei Bausteine — den _mta-sts-Eintrag, die Richtliniendatei und den _smtp._tls-TLS-RPT-Eintrag —, die live in Ihrem Browser erstellt werden. Kein Konto, keine Kreditkarte.

Einer pro Zeile — Ihre genauen MX-Hostnamen (ein Platzhalter wie *.yourprovider.com ist erlaubt). Sie müssen mit den Zertifikaten übereinstimmen, die Ihre MX-Server vorweisen.

Wie lange Empfänger die Richtlinie zwischenspeichern. 604800 (1 Woche) ist üblich; beginnen Sie beim Testen mit einem niedrigeren Wert.

Wohin die täglichen TLS-RPT-Berichte (JSON) gesendet werden — so sehen Sie Zustellfehler.

1. MTA-STS-DNS-Eintrag (TXT)
v=STSv1; id=…

Als TXT-Eintrag unter _mta-sts.yourdomain.com veröffentlichen.

2. Richtliniendatei
version: STSv1 mode: testing mx: mail.yourdomain.com max_age: 604800

Stellen Sie dies per HTTPS unter https://mta-sts.yourdomain.com/.well-known/mta-sts.txt bereit (gültiges Zertifikat, content-type text/plain).

3. TLS-RPT-DNS-Eintrag (TXT)
v=TLSRPTv1; rua=mailto:tls-reports@yourdomain.com

Als TXT-Eintrag unter _smtp._tls.yourdomain.com veröffentlichen.

Beginnen Sie im Testing-Modus. Führen Sie zuerst mode: testing aus und beobachten Sie die TLS-RPT-Berichte — wechseln Sie erst dann zu enforce, wenn sie bestätigen, dass jeder Empfänger Ihren MX über gültiges TLS erreicht, sonst riskieren Sie, Ihre eigenen eingehenden E-Mails zu blockieren.

So führen Sie es sicher ein

MTA-STS schützt eingehende E-Mails; SPF, DKIM und DMARC authentifizieren ausgehende E-Mails. Der Leitfaden zu MTA-STS und TLS-RPT deckt die gesamte Einführung ab, und der Domain-Health-Check bestätigt, dass die Einträge aufgelöst werden, sobald sie veröffentlicht sind.

Alle drei veröffentlichen, im Testmodus
Fügen Sie die beiden TXT-Einträge hinzu, hosten Sie die Richtliniendatei per HTTPS auf der Subdomain mta-sts und behalten Sie mode: testing bei, damit noch nichts blockiert wird.
TLS-RPT beobachten, dann erzwingen
Sobald die täglichen Berichte bestätigen, dass jeder Absender Ihren MX über gültiges TLS erreicht, wechseln Sie zu mode: enforce und erhöhen Sie die Richtlinien-id.

Warum TLS für eingehende E-Mails erzwingen

Die SMTP-Verschlüsselung ist standardmäßig opportunistisch, das heißt, sie kann zwischen Servern unbemerkt entfernt werden. MTA-STS und TLS-RPT schließen diese Lücke und geben Ihnen Einblick in die Zustellung — eine Ergänzung zur Authentifizierung, die Spoofing verhindert. Richten Sie SPF, DKIM und DMARC für ausgehende und MTA-STS für eingehende E-Mails korrekt ein.

MTA-STS- & TLS-RPT-Generator — FAQ

MTA-STS (SMTP MTA Strict Transport Security, RFC 8461) ermöglicht es Ihrer Domain, sendenden Servern mitzuteilen, dass eingehende E-Mails über TLS an Ihre authentifizierten MX-Hosts zugestellt werden müssen. Ohne dies ist die SMTP-Verschlüsselung opportunistisch und kann von einem Angreifer in der Mitte entfernt werden; MTA-STS schließt diese Downgrade-Lücke. Es ist ein DNS-TXT-Eintrag, der auf eine per HTTPS bereitgestellte Richtliniendatei verweist.

Im Testing-Modus stellen Empfänger, die MTA-STS unterstützen, E-Mails weiterhin zu, selbst wenn Ihre Richtlinienprüfung fehlschlägt, melden den Fehler jedoch per TLS-RPT — so erkennen Sie Probleme, ohne die Zustellung zu gefährden. Im Enforce-Modus verweigert ein Empfänger die Zustellung an einen MX, der nicht mit der Richtlinie übereinstimmt oder ein ungültiges Zertifikat vorweist. Beginnen Sie stets im Testing-Modus, stellen Sie sicher, dass die Berichte sauber sind, und wechseln Sie dann zu Enforce.

TLS-RPT (RFC 8460) ist der begleitende Eintrag unter _smtp._tls.ihredomain. Er fordert empfangende Server auf, Ihnen einen täglichen JSON-Bericht über erfolgreiche und fehlgeschlagene TLS-Handshakes zu senden, wenn sie an Ihren MX zustellen. Mit diesen Berichten bestätigen Sie, dass jeder Absender Sie über gültiges TLS erreichen kann, bevor Sie MTA-STS auf Enforce umstellen — und Sie erkennen anschließend Zertifikatsprobleme.

Drei Dinge, alle hier generiert: (1) ein TXT-Eintrag unter _mta-sts.ihredomain mit v=STSv1 und einer id, die Sie bei jeder Richtlinienänderung erhöhen; (2) die Richtliniendatei selbst, per HTTPS unter https://mta-sts.ihredomain/.well-known/mta-sts.txt mit einem gültigen Zertifikat bereitgestellt; und (3) der TLS-RPT-TXT-Eintrag unter _smtp._tls.ihredomain. Die DNS-Einträge allein genügen nicht — die Richtliniendatei muss per HTTPS erreichbar sein.

Beide erzwingen TLS für eingehendes SMTP, unterscheiden sich jedoch im Vertrauensanker. DANE veröffentlicht TLSA-Einträge, die durch DNSSEC gesichert sind; MTA-STS verwendet eine per HTTPS gehostete Richtlinie plus DNS und erfordert kein DNSSEC, was die Einführung für die meisten Domains erleichtert. Gmail, Outlook und Yahoo unterstützen MTA-STS alle, daher ist es heute die am breitesten unterstützte Option.

Sichern Sie den Transport — dann bereinigen Sie die Liste

MTA-STS schützt die Zustellung; die Verifizierung Ihrer Liste schützt Ihre Reputation. Starten Sie kostenlos mit 100 Credits, keine Kreditkarte erforderlich.

Jetzt verifizieren