MTA-STS auf Webhosting 2000 einrichten — Subdomain + SSL-Zertifikat nicht möglich in Plesk

MTA-STS würde mich auch interessieren ... vielleicht berichtest Du hier ... ah ... das ist "eh" nur:

1. Subdomain anlegen

2. LE Zertifikat für die Subdomain installieren

3. Dann im Unterordner ".well-known" eine Textdatei mta-sts.txt ablegen mit einer Policy drin: (habe mal das Minimum reingeschmiert mit Hilfe von mx-toolbox)

Zitat

version: STSv1
mode: testing
mx: mail.biszumbitterenen.de
mx: mxe95f.netcup.net
max_age: 604800

Sicherstellen, dass die abrufbar ist unter: https://mta-sts.biszumbitterenen.de/.well-known/mta-sts.txt

4. Zwei DNS Einträge TXT "_mta-sts" und "_smtp._tls" anlegen. Das passiert wieder im CCP unter Domains - DNS

Die Inhalte kann Dir wieder die KI minimal vorgeben und während im "_mta-sts" TXT Record eine ID angegeben ist, die am besten per Datumsanteil bei jedem Policy Update angepasst wird v=STSv1; id=2026061201, steht im "_smtp._tls" TXT Record wohin Du die wöchentlichen Reports haben willst: v=TLSRPTv1; rua=mailto:mta-sts-reports-beispiel@biszumbitterenen.de

5. Nach dem die DNS Einträge gültig werden, was über gut vorbereite TTL Werte auf 5 Minuten reduziert werden könnte, nochmals den MTA-STS Lookup von der MX Toolbox drüber schauen lassen.

Ich habe es ausprobiert und problemlos eingerichtet ... zuerst aber mal Kudos für die coole Domain! ("enen" hat mich einige Minuten gekostet)

Schnellster Weg zur Subdomain Erstellung Du wählst die Domain im CCP aus und drückst dann auf "Plesk Übersicht" / "Plesk Overview" und dann einfach auf: [Subdomain hinzufügen]

Der kannst Du dann im eigenen Eintrag wieder ein LE Zertifikat spendieren und bleib weg vom Catch-All ... ist verlockend, aber wird dich ins Verderben stürzen.

image.png

Blöde Frage: warum nicht gleich DANE ? So wie ich das mitbekomme, hat das doch MTA STS mittlerweile den Rang abgelaufen, auch weil sicherer...

Oder geht DANE nicht im webhosting hier? (Stichwort: DNSSEC)

Zitat von cmonty14

Hallo zusammen,
ich versuche MTA-STS (RFC 8461) für meine Domain biszumbitterenen.de einzurichten, die auf einem Webhosting 2000 Paket liegt.
MTA-STS erfordert eine Policy-Datei unter: https://mta-sts.<domain>/.well-known/mta-sts.txt

Das Problem: In Plesk (Webhosting 2000) fehlt mir die Möglichkeit, die Subdomain mta-sts.biszumbitterenen.de anzulegen. Im Tab "Hosting und DNS" der Domain gibt es nur "Hosting", "Apache und nginx" und "Whois" — keine Subdomain-Funktion.
Und selbst wenn ich die Subdomain irgendwie anlegen könnte: Plesk erlaubt Let's-Encrypt-Zertifikate nur für www. oder Wildcard — nicht für beliebige Subdomains wie mta-sts.

Fragen:
1. Wie richtet man MTA-STS korrekt auf einem Netcup Webhosting 2000 ein?
2. Gibt es eine versteckte Funktion in Plesk dafür?

Bin für jeden Hinweis dankbar!

Ich hatte MTA-STS mit Webhosting 2000 in Betrieb aber wie bereits unten erwähnt:

temp.jpg

Zitat von SiebenG

Blöde Frage: warum nicht gleich DANE ? So wie ich das mitbekomme, hat das doch MTA STS mittlerweile den Rang abgelaufen, auch weil sicherer...

Oder geht DANE nicht im webhosting hier? (Stichwort: DNSSEC)

für DNSSEC nimm einen externen Nameserver (zB Cloudflare, mit denen auch Wildcard-Zertifikat abgedeckt ist)

cmonty14habe die Schritte in #2 für deine Domain genau beschrieben und ist völlig unproblematisch zum Einrichten. Wenn die nötigen niedrigen TTL Werte für die DNS Einstellungen vorher gesetzt sind, ist das in unter 15 Minuten erledigt. Wenn die Anleitung anhand deiner Domaindaten nicht in Ordnung ist, anonymisiere bzw. pseudonymisiere ich die Screenshots und Textangaben gerne.

Bei Problemen gerne schreiben ...

Für die Verifikation, dass alles korrekt eingerichtet wurde, verwende ich die MX Toolbox.
https://mxtoolbox.com/SuperTool.aspx?action=mx%3abiszumbitterenen.de&run=toolpage#
Hier einfach auf "MTA-STS Lookup" umschalten.

Zitat von cmonty14

Hallo zusammen,
ich versuche MTA-STS (RFC 8461) für meine Domain biszumbitterenen.de einzurichten, die auf einem Webhosting 2000 Paket liegt.
MTA-STS erfordert eine Policy-Datei unter: https://mta-sts.<domain>/.well-known/mta-sts.txt

Das Problem: In Plesk (Webhosting 2000) fehlt mir die Möglichkeit, die Subdomain mta-sts.biszumbitterenen.de anzulegen. Im Tab "Hosting und DNS" der Domain gibt es nur "Hosting", "Apache und nginx" und "Whois" — keine Subdomain-Funktion.
Und selbst wenn ich die Subdomain irgendwie anlegen könnte: Plesk erlaubt Let's-Encrypt-Zertifikate nur für www. oder Wildcard — nicht für beliebige Subdomains wie mta-sts.

Fragen:
1. Wie richtet man MTA-STS korrekt auf einem Netcup Webhosting 2000 ein?
2. Gibt es eine versteckte Funktion in Plesk dafür?

Bin für jeden Hinweis dankbar!

nicht vergessen auch für MX gültiges Zertifikat zu verwenden - Netcup braucht für RoundCube (Webmail) mail.domain.tld (CN/SAN ist für Kundendomäne jedoch nicht eingetragen)

Zitat von charmin.armin

nicht vergessen auch für MX gültiges Zertifikat zu verwenden - Netcup braucht für RoundCube (Webmail) mail.domain.tld (CN/SAN ist für Kundendomäne jedoch nicht eingetragen)

Kannst Du genauer erläutern was Du mit gültiges Zertifikat für MX meinst?
Den DNS MX 10 Eintrag für mail.domain.tld legt netcup ja automatisch an. Verstehe ich das richtig, dass man hier eine zusätzliche Subdomain erstellt und dann auch ein LE Zertifikat darauf ausstellen lässt? (das hatte ich bisher nie gemacht)

In den E-Mail Einstellungen lässt sich bei mir hier kein eventuell schon für die Domain angelegtes LE Zertifikat auswählen:
netcup_E-Mail_Einstellungen_Webmail_Zertifikat_LE_nicht_auswaehlbar.png

Und für den Webmail nutze ich immer den in den E-Mail-Einstellungen hinterlegten (Standard: Webmail01).
Oder alternativ eine auf einer Subdomain aufgesetzten eigene Roundcube Installation. (hier das dazu verfasste Community Tutorial: Setup of Roundcube as webmail frontend on webhosting)

Zitat von Copro

Kannst Du genauer erläutern was Du mit gültiges Zertifikat für MX meinst?
Den DNS MX 10 Eintrag für mail.domain.tld legt netcup ja automatisch an. Verstehe ich das richtig, dass man hier eine zusätzliche Subdomain erstellt und dann auch ein LE Zertifikat darauf ausstellen lässt? (das hatte ich bisher nie gemacht)

In den E-Mail Einstellungen lässt sich bei mir hier kein eventuell schon für die Domain angelegtes LE Zertifikat auswählen:
netcup_E-Mail_Einstellungen_Webmail_Zertifikat_LE_nicht_auswaehlbar.png

Und für den Webmail nutze ich immer den in den E-Mail-Einstellungen hinterlegten (Standard: Webmail01).
Oder alternativ eine auf einer Subdomain aufgesetzten eigene Roundcube Installation. (hier das dazu verfasste Community Tutorial: Setup of Roundcube as webmail frontend on webhosting)

Alles anzeigen

In dem von Dir verlinkten Tutorial (immer gut eine eigene Instanz zu hosten, vor allem wenn RoundCube vom Provider nicht aktualisiert wird) findet sich sogar ein Hinweis auf die Zertifikatsherausforderung (mail.domain.tld wurde im Forum ausreichend diskutiert)

MTA-STS Fehler bei eigener Domain

workaround for netcup SMTP server requiring STARTTLS
// but the certificate not match the server name mail.example.com

Du hast ja auch die Reports eingerichtet. Darf ich mal fragen: wie hoch ist der Anteil der E-Mails, die Du empfängst, die die Verschlüsselung verwenden?