Kapitel 05 Netzwerk, DNS & Kryptografie Admin: #pTls

Let's Encrypt ACME v2 (0 ms SNI), MTA-STS, DANE & BIMI

SharpMailserver verwaltet TLS-Zertifikate vollautomatisch über Let's Encrypt ACME v2 und lädt erneuerte Zertifikate ohne Verbindungsabbruch (0 ms SNI Hot-Reload) gleichzeitig in HTTPS, SMTPS, STARTTLS, IMAPS und ManageSieve.

Praxis-Tipp & Architektur-Hinweis

Besonderheit bei DANE (TLSA): Unser ACME-Manager behält auf Wunsch den bestehenden privaten ECDSA/RSA-Schlüssel über Zertifikatserneuerungen hinweg stabil bzw. nutzt den empfohlenen Selector 1 (SubjectPublicKeyInfo). Dadurch bleibt dein DNS-TLSA-Hash (3 1 1) auch bei der 60-Tage-Erneuerung gültig!

DANE TLSA (3 1 1) & MTA-STS DNS-Einträge

Der exakte SPKI-SHA256-Hash deines aktiven Zertifikats wird im Admin-Cockpit unter #pTls kopierfertig berechnet.

Referenz / Konfiguration

_25._tcp.mail.firma.de.  3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de.       3600 IN TXT  "v=STSv1; id=20261030"
_smtp._tls.firma.de.     3600 IN TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de.  3600 IN TXT  "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"

Einstellungen, Standardwerte & Best Practices

Einstellung / Ort	Funktion	Standardwert	Best Practice im Betrieb
`ACME SAN-Domains (#pTls)`	Liste aller Hostnamen im TLS-Zertifikat (z. B. mail.firma.de, autodiscover.firma.de). Erneuert automatisch 30 Tage vor Ablauf.	`ServerHostName vorausgewählt`	Nur Hostnamen anhaken, deren A/AAAA-Record tatsächlich auf diesen Mailserver zeigt! Zeigt autodiscover.firma.de auf einen anderen Webserver, schlägt HTTP-01 fehl.
`MTA-STS & TLS-RPT (RFC 8461 / 8460)`	Weist fremde Mailserver per HTTPS-Policy an, E-Mails an deine Domain ausschließlich TLS-verschlüsselt mit gültigem Zertifikat zuzustellen.	`Integrierter Policy-Endpunkt`	Zuerst im mode: testing mit TLS-RPT-Berichten starten; sobald keine Zertifikatswarnungen auftreten, auf mode: enforce umstellen.
`DANE TLSA (_25._tcp.<ServerHostName>)`	Verankert den öffentlichen TLS-Schlüssel DNSSEC-gesichert im DNS, sodass Downgrade- und Man-in-the-Middle-Angriffe unmöglich werden.	`3 1 1 <SPKI-SHA256-Hash>`	Nur veröffentlichen, wenn deine Domain beim Registrar aktiv DNSSEC-signiert ist, und stets den im Cockpit angezeigten 3-1-1-SPKI-Eintrag verwenden.
`BIMI Markenlogo (default._bimi)`	Zeigt dein geprüftes Firmenlogo im SVG-Tiny-PS-Format direkt neben deinen E-Mails in unterstützten Postfächern an.	`Integrierter SVG-Sanitizer`	Setzt DMARC auf p=quarantine (100 %) oder p=reject voraus. Logo im Cockpit hochladen und automatisch nach SVG-Tiny-PS bereinigen lassen.