Chapitre 05 Réseau, DNS & cryptographie Admin : #pTls

Let's Encrypt ACME v2 (SNI en 0 ms), MTA-STS, DANE & BIMI

nextxch automatise l'émission et le renouvellement des certificats X.509 via Let's Encrypt ACME v2, en remplaçant à chaud les certificats renouvelés en 0 ms sur HTTPS, SMTPS, STARTTLS, IMAPS et ManageSieve, sans aucune connexion interrompue.

Conseil d'exploitation & note d'architecture

Détail crucial pour DANE (TLSA) : publiez toujours les enregistrements DANE avec Usage 3, Selector 1 (clé publique SPKI), MatchingType 1 (SHA-256), soit '3 1 1'. N'utilisez jamais '3 0 1' (hachage du certificat complet) avec les renouvellements automatiques Let's Encrypt tous les 60 jours, sauf si les mises à jour DNS sont automatisées !

Enregistrements DNS DANE TLSA (3 1 1) & MTA-STS

L'empreinte SHA-256 SPKI exacte de votre certificat actif est calculée, prête à copier, dans #pTls de l'Admin Cockpit.

Référence / configuration

_25._tcp.mail.firma.de.  3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de.       3600 IN TXT  "v=STSv1; id=20261030"
_smtp._tls.firma.de.     3600 IN TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de.  3600 IN TXT  "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"

Paramètres, valeurs par défaut & bonnes pratiques

Paramètre / emplacement	Description	Valeur par défaut	Bonne pratique en production
`ACME SAN-Domains (#pTls)`	Noms alternatifs du sujet (SAN) inclus dans le certificat Let's Encrypt, renouvelé automatiquement 30 jours avant l'expiration.	`ServerHostName vorausgewählt`	N'incluez QUE les noms d'hôte dont les enregistrements A/AAAA publics pointent vers ce serveur ! Inclure un domaine racine hébergé ailleurs fera échouer la validation HTTP-01.
`MTA-STS & TLS-RPT (RFC 8461 / 8460)`	Indique aux MTA expéditeurs, via une stratégie HTTPS, de remettre le courrier destiné à votre domaine exclusivement via TLS authentifié.	`Integrierter Policy-Endpunkt`	Commencez en mode testing en surveillant les rapports TLS-RPT dans /admin/, puis passez le mode de stratégie à enforce.
`DANE TLSA (_25._tcp.<ServerHostName>)`	Épingle l'empreinte SHA-256 du SubjectPublicKeyInfo de votre serveur dans un DNS signé DNSSEC (_25._tcp.mail.company.com).	`3 1 1 <SPKI-SHA256-Hash>`	Publiez UNIQUEMENT sur des zones signées DNSSEC, avec l'enregistrement SPKI SHA-256 exact '3 1 1' généré dans #pTls.
`BIMI Markenlogo (default._bimi)`	Affiche votre logo de marque vérifié (SVG Tiny 1.2 PS) à côté de vos messages dans les clients de messagerie compatibles.	`Integrierter SVG-Sanitizer`	Nécessite DMARC p=quarantine ou p=reject. Téléversez votre SVG dans #pTls pour qu'il soit automatiquement assaini et hébergé avec les en-têtes CORS appropriés.