MTA-STS Fehler bei eigener Domain

Der MX-Eintrag mit mail.[deine-Domain] macht vermutlich Probleme. Für den hat der Mailserver nämlich kein Zertifikat. Ich würde den MX-Eintrag löschen (nicht aber den mail-A-Record).

Du erzwingst mit MTA-STA eine verschlüsselte Kommunikation mit dem Mailserver. Dieser besitzt für mail.<deine-domain>.de aber kein gültiges Zertifikat. Somit kann an der Stelle keine vertrauenswürdige verschlüsselte Verbindung aufgebaut werden. Da die zwei Hostnamen mail.<deine-domain>.de und mxe950.netcup.net eh auf die selbe IP zeigen, kannst du dir den Eintrag MX 10 mail.<deine-domain>.de sparen.

Der Eintrag A mail ist aber für Webmail notwendig. Den also bestehen lassen.

Ich hatte vorletztes Jahr beim Community-Treffen nachgefragt, warum die zwei Records vorhanden sind. Der Grund konnte mir nicht genannt werden, es wurde aber vermutet, dass es ein historisches Überbleibsel ist und es keinen technischen Grund dafür gibt.

Zitat von m3um25z

Dann kann ich den mail. und webmail. A-Record auch löschen?

webmail. auf jeden Fall. Den mail. würde ich persönlich bestehen lassen, damit man sich über https://webmail01.netcup.net/ noch einloggen und darüber bequem Sieve-Filter bearbeiten kann. Aber wenn du das auch nicht brauchst, kann mail. auch weg.

Deine Records sehen so weit gut und sicher aus.

Und ja db. kann auch weg.

Zitat von m3um25z

Das geht auch mit dem Thunderbird-Plugin, oder?

Zitat

Zuletzt aktualisiert: Nov. 8, 2021

Das wirst mit einem aktuellen Thunderbird nicht zum Laufen bekommen.

Im Zweifel kannst du aber auch selbst (irgendwo) eine eigene Roundcube-Instanz installieren und das als Webmailer dann nutzen. Bist nicht auf die globale Roundcube-Instanz von Netcup angewiesen.

Zitat von Virinum

Dieser besitzt für mail.<deine-domain>.de aber kein gültiges Zertifikat.

Dazu fällt mir noch ein, dass du beim Mailserver durchaus eigene Zertifikate hochladen kannst und diese dann auch vom Mailserver verwendet werden. Das wäre vermutlich auch eine Lösung für dein DNSSEC/DANE/TLSA-Problem im anderen Thread. Allerdings kenne ich keine Möglichkeit das Zertifikat automatisch zu verlängern (außer eigenes Script schreiben). Bei Buypass gibt es kostenlose Zertifikate, die 180 Tage gültig sind. Damit müsstest du dann nur ca. 2 Mal im Jahr manuell ran.

Wie wichtig dir das ist und ob sich das für dich lohnt, musst du entscheiden. Mir wäre es der Aufwand nicht wert und sicher genug finde ich es auch ohne DNSSEC/DANE/TLSA.

Zitat von Virinum

eigene Zertifikate hochladen kannst und diese dann auch vom Mailserver verwendet werden

setzt vorraus dass der client SNI spricht, da würde ich nicht für jeden die hand ins feuer legen wollen.