Gratis MTA-STS-checker
Controleer de MTA-STS-configuratie van je domein in een paar seconden. Eén scan checkt DNS-records, policybestanden, TLS-certificaten en of je MX-hosts overeenkomen.
Gratis, geen account nodig. Vul een domein in om te beginnen.
Wat is MTA-STS?
MTA-STS (Mail Transfer Agent Strict Transport Security) is een standaard voor e-mailbeveiliging, vastgelegd in RFC 8461. Domeineigenaren geven hiermee aan dat hun mailservers TLS-versleuteling ondersteunen en dat verzendende servers geen e-mail mogen bezorgen via onversleutelde verbindingen. Zonder MTA-STS kan een man-in-the-middle-aanvaller de verbinding terugschroeven naar platte tekst en berichten onderscheppen, ook als je mailserver TLS ondersteunt.
SMTP is ontworpen in een tijd waarin versleuteling nog geen standaard was. Opportunistische TLS (STARTTLS) kwam later, maar is kwetsbaar voor downgrade-aanvallen, omdat een verzendende server vooraf niet kan weten of de ontvangende server versleuteling eist. MTA-STS lost dat op met een policy die verzenders vertelt: “Bezorg alleen bij deze MX-hosts, en alleen via een geverifieerde TLS-verbinding.”
Het protocol bestaat uit twee onderdelen: een DNS TXT-record op _mta-sts.jouwdomein.nl dat aangeeft dat je MTA-STS ondersteunt en een policy-ID bevat, en een policybestand via HTTPS op https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt met de toegestane MX-hosts, de policymodus en een max_age-waarde.
MTA-STS is vooral belangrijk voor organisaties die gevoelige communicatie verwerken (financiële dienstverlening, zorg, juridische sector en overheid), waar vertrouwelijkheid van e-mail een compliance-eis is. Combineer je het met TLS-RPT (TLS Reporting), dan krijg je zowel handhaving als inzicht in de versleuteling van bezorging door alle verzenders.
Wat deze checker controleert
Onze MTA-STS-checker scant de configuratie van je domein grondig en legt gevonden problemen helder uit.
Validatie van je DNS-record
Controleert of je _mta-sts TXT-record bestaat, correct is opgemaakt en een geldige versie en modus bevat (testing, enforce of none).
Check van je policybestand
Haalt je MTA-STS-policybestand op van https://mta-sts.jouwdomein/.well-known/mta-sts.txt en valideert de syntax, versie, modus, max_age en de vermelde MX-hosts.
TLS-configuratie
Bevestigt dat het policybestand via HTTPS wordt aangeboden met een geldig, niet-verlopen TLS-certificaat en het juiste content type.
MX-vergelijking
Vergelijkt de MX-hosts in je policybestand met je echte MX-records in DNS om te controleren of ze overeenkomen. Zo voorkom je bezorgproblemen.
MTA-STS instellen
Voor MTA-STS heb je een DNS-record en een publiek gehost policybestand nodig. Dit is het proces stap voor stap.
Maak je MTA-STS-policybestand
Schrijf een platte tekstbestand met je policyversie, de modus (begin met "testing"), max_age en de MX-hosts die e-mail voor je domein mogen ontvangen.
Host het policybestand via HTTPS
Bied het bestand aan op https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt met een geldig TLS-certificaat. Het subdomein moet resolven en het certificaat moet het subdomein dekken.
Voeg het DNS TXT-record toe
Publiceer een TXT-record op _mta-sts.jouwdomein.nl met de waarde "v=STSv1; id=YYYYMMDDHHMMSS". Pas de id aan zodra je je policy wijzigt.
Monitor en handhaaf
Houd TLS-RPT-rapporten in de gaten om te bevestigen dat verzenders veilig verbinding kunnen maken. Ben je er zeker van? Zet de modus dan van "testing" op "enforce" om versleutelde bezorging te eisen.
Waarom MailShield voor MTA-STS?
De grootste drempel voor MTA-STS is dat je een policybestand moet hosten op een apart subdomein met een geldig HTTPS-certificaat. Voor veel organisaties is een webserver opzetten voor één tekstbestand onpraktisch, zeker als je tientallen of honderden domeinen beheert.
MailShield neemt dat volledig uit handen. Wij hosten je MTA-STS-policy voor je. Je voegt alleen twee DNS-records toe (een CNAME voor het mta-sts-subdomein en een TXT-record) en MailShield regelt automatisch het HTTPS-certificaat, het aanbieden van het policybestand en de doorlopende monitoring.
- Volledig gehoste MTA-STS-policy, je hebt zelf geen webserver nodig
- Automatische uitgifte en verlenging van je HTTPS-certificaat
- Begin in testing-modus en stap over op enforce als je er klaar voor bent
- Continue monitoring met alerts als je configuratie afwijkt
- Gecombineerd met TLS-RPT-rapportage voor volledig inzicht in versleuteling
- Beheer MTA-STS voor al je domeinen vanuit één dashboard
Veelgestelde vragen over de MTA-STS-checker
Wat is een MTA-STS-checker?
Een MTA-STS-checker controleert of je domein MTA-STS correct publiceert. De tool checkt het _mta-sts DNS TXT-record, haalt het policybestand op via HTTPS, valideert het TLS-certificaat en bevestigt dat de vermelde MX-hosts overeenkomen met je echte MX-records.
Wat is MTA-STS?
MTA-STS (Mail Transfer Agent Strict Transport Security) is een standaard voor e-mailbeveiliging, vastgelegd in RFC 8461. Een domein kan hiermee eisen dat inkomende mail via een geverifieerde TLS-verbinding wordt bezorgd. Dat voorkomt downgrade- en man-in-the-middle-aanvallen op SMTP.
Hoe ziet een MTA-STS-record eruit?
MTA-STS gebruikt een DNS TXT-record op _mta-sts.jouwdomein.nl met een waarde als "v=STSv1; id=20260101000000". De id is een versie-aanduiding die je moet aanpassen zodra je je policy wijzigt, zodat verzenders weten dat ze die opnieuw moeten ophalen.
Waar staat het MTA-STS-policybestand?
Het policybestand wordt via HTTPS aangeboden op https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt, met een geldig TLS-certificaat. Het bevat de policyversie, de modus (testing, enforce of none), een max_age-waarde en de MX-hosts die mail mogen ontvangen.
Bescherm je e-mail met MTA-STS
Krijg gehoste MTA-STS, continue monitoring en volledige dekking van je e-mailbeveiliging. Gehoste MTA-STS is een betaalde functie; het gratis plan omvat 1 domein met alle protocolchecks.