Eigene Domain SPF, SRV und CNAME Frage.

Thomas91 ● 3 Jahren her

Also SPV und SRV records sehen soweit ganz gut aus, ich würde ggf. noch ein "?all" ans Ende des SPV records setzten, ist aber nicht unbedingt nötig. Zu den CNAME autoconfig records kann ich nichts sagen, kann mir aber nicht vorstellen, dass domain.tld/nextcloud davon betroffen ist, da muss noch irgendwas anderes falsch laufen.

Antworten URL

1

4955366 ● 3 Jahren her

Die Subdomain "autoconfig" sollte nicht zweimal geben.

Du kannst die von mailbox.org weglassen. Autoconfig ist ja nur für die Bequemlichkeit.

Antworten URL

1

1962356 ● 3 Jahren her

Aber wieso bekomme ich beim Mail Check immer das Ergebnis "unsicher"?

https://mecsa.jrc.ec.europa.eu/

URL

1

einuser ● 3 Jahren her

Autoconfig und Autodiscover ist nur dafür da, dass ein Mailclient bei der ersten Einrichtung automatisch anhand der Emailadresse die Mailserver erkennt und konfiguriert. Sofern ich meinen Client (z.B. Thunderbird) per Hand einrichte, ist das genauso sicher oder unsicher. Autoconfig und Autodiscover hat mit dem normalen Emailversand oder Emailempfang nichts zu tun.

Der hkps-Eintrag ist ebenso irrelevant. Der Eintrag stellt sicher, dass unter bestimmten Umständen der Absender-Mailclient den PGP-Schlüssel des Empfängers automatisch holt. Dazu gibt es aber auch andere Möglichkeiten. Sofern man kein PGP verwendet, vollkommen irrelevant, sofern man PGP verwendet für die Sicherheit (Mailversand) auch irrelevant, lediglich relevant, wenn man pgp verwendet und den Schlüsseltausch unter bestimmten Bedingungen vereinfachen will.

Der von dir genannte MECSA-Test prüft (habe das gerade mal ausprobiert) neben der Verschlüsselung auch DKIM und DMARC. Beides ist, wenn man Mailbox.org mit der eigenen Domain verwendet, nicht vorhanden. Dazu gibt es auch keine Hilfe oder Erklärung. Beides ist aber nicht zwingend notwendig. DKIM ist eine Signatur beim Mailversand. Der Empfänger kann somit lediglich prüfen, ob die Mail verändert wurde. DKIM ist keine Verschlüsselung und damit auch kein Schutzmechanismus gegen "Abhörmaßnahmen". DMARC sagt, was mit Mails geschehen soll, die einen DKIM-Fehler (oder spf-Fehler) haben. Fehlendes DKIM und DMARC machen den Mailversand also nicht unsicher gegen Abhören. SPF, DKIM und DMARK ist eher ein Spamschutz gegen das Fälschen von Absendern.

Was wichtig und sicherheitsrelevant ist, ist folgender Test: https://ssl-tools.net/mailservers . Dieser Test sollte beim Eingeben der eigenen Domain komplett grün sein, weil er prüft, ob eine Mail transportverschlüsselt verschickt wird, also ob zwischen Absender-Server und Empfangsserver eine Verschlüsselung zum Einsatz kommt. Also wirklich relevant ist lediglich, dass du die richtigen MX-Records setzt.

Autoconfig und Autodiscover ist nur dafür da, dass ein Mailclient bei der ersten Einrichtung automatisch anhand der Emailadresse die Mailserver erkennt und konfiguriert. Sofern ich meinen Client (z.B. Thunderbird) per Hand einrichte, ist das genauso sicher oder unsicher. Autoconfig und Autodiscover hat mit dem normalen Emailversand oder Emailempfang nichts zu tun.

Der hkps-Eintrag ist ebenso irrelevant. Der Eintrag stellt sicher, dass unter bestimmten Umständen der Absender-Mailclient den PGP-Schlüssel des Empfängers automatisch holt. Dazu gibt es aber auch andere Möglichkeiten. Sofern man kein PGP verwendet, vollkommen irrelevant, sofern man PGP verwendet für die Sicherheit (Mailversand) auch irrelevant, lediglich relevant, wenn man pgp verwendet und den Schlüsseltausch unter bestimmten Bedingungen vereinfachen will.

Der von dir genannte MECSA-Test prüft (habe das gerade mal ausprobiert) neben der Verschlüsselung auch DKIM und DMARC. Beides ist, wenn man Mailbox.org mit der eigenen Domain verwendet, nicht vorhanden. Dazu gibt es auch keine Hilfe oder Erklärung. Beides ist aber nicht zwingend notwendig. DKIM ist eine Signatur beim Mailversand. Der Empfänger kann somit lediglich prüfen, ob die Mail verändert wurde. DKIM ist keine Verschlüsselung und damit auch kein Schutzmechanismus gegen "Abhörmaßnahmen". DMARC sagt, was mit Mails geschehen soll, die einen DKIM-Fehler (oder spf-Fehler) haben. Fehlendes DKIM und DMARC machen den Mailversand also nicht unsicher gegen Abhören. SPF, DKIM und DMARK ist eher ein Spamschutz gegen das Fälschen von Absendern.

Was wichtig und sicherheitsrelevant ist, ist folgender Test: https://ssl-tools.net/mailservers . Dieser Test sollte beim Eingeben der eigenen Domain komplett grün sein, weil er prüft, ob eine Mail transportverschlüsselt verschickt wird, also ob zwischen Absender-Server und Empfangsserver eine Verschlüsselung zum Einsatz kommt. Also wirklich relevant ist lediglich, dass du die richtigen MX-Records setzt.

URL

1

1962356 ● 3 Jahren her

Vielen herzlichen Dank für die Erklärung.

URL

Eigene Domain SPF, SRV und CNAME Frage.

Kommentare (2)