Wie Sie MTA-STS prüfen, bevor Sie auf enforce umschalten

Bevor Sie MTA-STS von testing auf enforce umschalten, prüfen Sie vier Dinge: den _mta-sts-Eintrag, die Richtliniendatei, ob jeder MX-Host von der Richtlinie abgedeckt ist, und ob die TLS-RPT-Berichte keine Fehler zeigen. Fügen Sie Ihre Domains für die ersten drei in den Bulk-MTA-STS-Checker ein; Ihre TLS-RPT-Berichte decken den vierten Punkt ab.

MTA-STS für eine Liste von Domains prüfen →

In großen Mengen prüfen

1. Öffnen Sie den Bulk-MTA-STS-Checker.
2. Fügen Sie die Domains ein, eine pro Zeile: bis zu 100 pro Durchlauf, oder 500 nach einer kostenlosen Google-Anmeldung.
3. Klicken Sie auf Check MTA-STS (MTA-STS prüfen). Die Einträge _mta-sts und _smtp._tls sowie die MX-Einträge jeder Domain werden gelesen, und die Richtliniendatei wird einmal über HTTPS abgerufen.
4. Lesen Sie jede Zeile: Enforced, Testing, Off, Broken oder Not set up, mit dem Modus, max_age, jedem MX-Host, den die Richtlinie nicht abdeckt, und der TLS-RPT-Adresse.
5. Jede Domain, die als Broken markiert ist oder einen nicht abgedeckten MX hat, ist nicht bereit für enforce.

Von Hand

Der Eintrag und die Richtliniendatei, hier für eine Domain im Modus testing:

dig +short txt _mta-sts.fastmail.com
# "v=STSv1; id=20260728T132000"

curl -s https://mta-sts.fastmail.com/.well-known/mta-sts.txt
# version: STSv1
# mode: testing
# mx: *.messagingengine.com
# max_age: 86400

Prüfen Sie dann jeden MX-Host gegen die mx:-Zeilen der Richtlinie (mit bash ausführen):

d=fastmail.com
pol=$(curl -s https://mta-sts.$d/.well-known/mta-sts.txt | tr -d '\r')
for mx in $(dig +short mx $d | awk '{print $2}' | sed 's/\.$//'); do
  ok=no
  for p in $(echo "$pol" | awk '/^mx:/{print $2}'); do
    [ "$mx" = "$p" ] && ok=yes
    [ "${p#\*.}" != "$p" ] && [ "${mx#*.}" = "${p#\*.}" ] && ok=yes
  done
  echo "$mx covered=$ok"
done
# in2-smtp.messagingengine.com covered=yes
# in1-smtp.messagingengine.com covered=yes

Und das Zertifikat, das jeder MX präsentiert und von dem die Richtlinie abhängt:

openssl s_client -starttls smtp -connect in1-smtp.messagingengine.com:25 \
  -verify_hostname in1-smtp.messagingengine.com -verify_return_error -brief < /dev/null 2>&1 | grep -E "Verification|Peer certificate"
# Peer certificate: CN=*.messagingengine.com
# Verification: OK

Wir haben diese Befehle am 9. November 2026 ausgeführt. Der Platzhalter-Test folgt RFC 8461, Abschnitt 4.1: *.example.com passt auf mail.example.com "but not example.com or foo.bar.example.com" (aber nicht auf example.com oder foo.bar.example.com). Viele Heim- und Büronetze sperren ausgehenden Port 25, daher muss der openssl-Schritt womöglich von einem Server aus laufen. Der Bulk-Checker prüft keine MX-Zertifikate; dieser Befehl schon.

Was Sie vor enforce reparieren sollten

• Ein nicht abgedeckter MX. Fügen Sie eine mx:-Zeile für ihn hinzu. RFC 8461, Abschnitt 5 sagt, dass Absender im Modus enforce "MUST NOT deliver the message to hosts that fail MX matching or certificate validation or that do not support STARTTLS." (die Nachricht nicht an Hosts zustellen dürfen, die beim MX-Abgleich oder bei der Zertifikatsprüfung durchfallen oder STARTTLS nicht unterstützen). Das trifft Sie, nachdem Sie einen Backup-MX hinzugefügt oder den Mail-Anbieter gewechselt haben.
• Die Richtliniendatei lädt nicht. Sie muss unter mta-sts.<domain> mit HTTP 200 und einem gültigen Zertifikat für diesen Namen antworten. Die RFC sagt "HTTP 3xx redirects MUST NOT be followed" (HTTP-3xx-Weiterleitungen dürfen nicht befolgt werden), also zählt eine Weiterleitung auf www als keine Richtlinie.
• Kein TLS-RPT. Veröffentlichen Sie _smtp._tls.<domain> mit v=TLSRPTv1; rua=mailto:... (RFC 8460). Im Modus testing sind die Berichte der einzige Weg, Fehler zu sehen.
• Umschalten. Ändern Sie zuerst mode: testing in mode: enforce in der Richtliniendatei, dann die id im TXT-Eintrag, damit Absender die neue Richtlinie abrufen. Abschnitt 8.1 gibt diese Reihenfolge vor, damit Absender nie eine neue id mit der alten Datei kombinieren. max_age darf höchstens 31557600 Sekunden (ein Jahr) betragen; RFC 8461 erwartet Wochen oder mehr, sobald Sie sich sicher sind.

Die meisten Domains veröffentlichen gar kein MTA-STS; siehe unsere Studie zur Verbreitung von MTA-STS. Um die Einträge zu schreiben, nutzen Sie den MTA-STS-Generator.

Nächster Schritt: die Adressen prüfen, an die Sie senden

MTA-STS schützt Mails auf dem Weg in Ihre Domain. Die Bounces, die Ihrem Versand schaden, kommen von den Adressen auf Ihrer eigenen Liste. Laden Sie sie unter /verify hoch, um jedes Postfach zu prüfen, ohne etwas zu senden. Die ersten 100 Prüfungen sind mit einer Google-Anmeldung kostenlos, ohne Karte.

Pro, 39 $ pro Monat: unbegrenzte E-Mail-Verifizierung.* Nie pro Prüfung abgerechnet, nie abgeschaltet. Siehe Preise.

*Fair Use: die ersten 100.000 Prüfungen im Monat mit voller Geschwindigkeit, danach langsamer, nie abgeschaltet.

Weiterlesen: die E-Mail-Authentifizierung Ihrer Domain prüfen, SPF, DKIM und DMARC erklärt.