Email mit gültigem TLS-Zertifikat schützen

    Quote from charmin.armin

    Ist jetzt aber nichts Neues (und dem Support bekannt)

    stimmt, ich kann mich auch daran erinnern, jetzt wo du es sagst. ^^

    aber sollte das problem denn nicht längst gelöst sein.

    (war das nicht eine aussage vom damaligen usertreffen…?!)


    Quote from hamilrat

    Dann brauchen ja nur die Prios getauscht werden.

    ich würde das gleich richtig machen und löschen, nicht die PRIO tauschen.

    »Hauptsache BogoMIPS!«

    Fleischfresser

    »Sämtliche Cyberrisikomanagementmaßnahmen wurden übererfüllt!«

    Volksfront DLT #60Ksplit

    Edited 2 times, last by Olivetti ().

    Like 1 Thanks 1
    Quote from Olivetti

    stimmt, ich kann mich auch daran erinnern, jetzt wo du es sagst. ^^

    aber sollte das problem denn nicht längst gelöst sein.

    (war das nicht eine aussage vom damaligen usertreffen…?!)


    ich würde das gleich richtig machen und löschen, nicht die PRIO tauschen.


    Hallo Olivetti.


    Kann ich das selbst löschen und richtig machen?


    Grüße Tom

    Quote from Olivetti

    stimmt, ich kann mich auch daran erinnern, jetzt wo du es sagst. ^^

    aber sollte das problem denn nicht längst gelöst sein.

    (war das nicht eine aussage vom damaligen usertreffen…?!)


    ich würde das gleich richtig machen und löschen, nicht die PRIO tauschen.

    HALLELUJAH!


    Ich habe jetzt leider viel zu viele Stunden damit verbracht um herauszufinden, warum fast alle mails bei mir ankamen, nur die von GMail nicht. Daher für die googleability und zur Problemlösung anderer, hier meine Fehlermeldung bei Gmail:



    Delivery incomplete

    There was a temporary problem delivering your message to mail@mydomain.de. Gmail will retry for 44 more hours. You'll be notified if the delivery fails permanently.
    LEARN MORE
    The response was:

    The certificate is not valid according to the STS policy. For more information, go to https://support.google.com/a/answer/9261504


    Sämtliche email-hardener-mx-toolbox-checks waren ok; ich hab wie wild versucht die letsencrypt zertifikate mit wildcard für mail und webmail ausstellen zu lassen, und hatte irrtümlicherweise vermutet dass das Problem daran liegt, dass wenn ich mail.mydomain.de aufrufe - nur ein self-signed Zertifikat von Plesk auftauchte.


    Dann fand ich harus, dass das Zertifikat für meinen mx1234.netcup.net auf dem IMAP Port ok ist, wie man durch folgenden Aufruf überprüfen kann:

    Code
    openssl s_client -starttls smtp -showcerts -connect mx1234.netcup.net:587 -servername mx1234.netcup.net


    Die Lösung war also ganz einfach, wie von Olivetti beschrieben - den MX Eintrag für mail.mydomain.de herauslöschen. Warum das nicht die standard-DNS-Konfig bei netcup ist, erschließt sich mir nicht.


    Also Danke nochmal!

    Den Grund für mail.domain.tld als MX Prio 10 hat Netcup vor längerem versucht, hier zu erklären (ich sag dazu jetzt nix;) Mal ganz abgesehen, dass es immer wieder zu Zustellungsherausforderungen kommt (weil Hostname im Zertifikat nicht übereinstimmt) schaut es unprofessionell aus, wenn via httpS zB auf mx150e.netcup.net zugegriffen wird und dort ein Datenschutzfehler erscheint (weil das Zertifikat am 2023-11-12 abgelaufen ist)


    Existenz von mail.domain.tld als Notwendigkeit für (Netcups) Webmail ist bekannt (ich hätte den A/AAAA-Record ja sonst entfernt) und wenn wir schon dabei sind: leitet bitte automatisch von http zu httpS um (da ansonsten Benutzername/Passwort unverschlüsselt übertragen wird)