第 05 章
ネットワーク、DNS & 暗号
管理:
#pTls
Let's Encrypt ACME v2 (0 ms SNI)、MTA-STS、DANE & BIMI
nextxch は Let's Encrypt ACME v2 による X.509 証明書の発行と更新を自動化し、更新された証明書を HTTPS、SMTPS、STARTTLS、IMAPS、ManageSieve で 0 ms でホット スワップするため、接続が切断されることはありません。
運用のヒントとアーキテクチャに関する注記
DANE (TLSA) の重要なポイント: DANE レコードは必ず Usage 3、Selector 1 (SPKI 公開キー)、MatchingType 1 (SHA-256)、つまり '3 1 1' で公開してください。DNS 更新を自動化していない限り、60 日ごとに自動更新される Let's Encrypt では '3 0 1' (証明書全体のハッシュ) を決して使用しないでください!
DANE TLSA (3 1 1) & MTA-STS の DNS レコード
有効な証明書の正確な SPKI SHA-256 ダイジェストは、管理コックピットの #pTls でコピーできる形で計算されます。
_25._tcp.mail.firma.de. 3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de. 3600 IN TXT "v=STSv1; id=20261030"
_smtp._tls.firma.de. 3600 IN TXT "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de. 3600 IN TXT "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"設定、既定値 & ベスト プラクティス
| 設定 / 場所 | 説明 | 既定値 | 本番環境のベスト プラクティス |
|---|---|---|---|
ACME SAN-Domains (#pTls) |
Let's Encrypt 証明書に含まれるサブジェクト代替名。有効期限の 30 日前に自動更新されます。 | ServerHostName vorausgewählt |
パブリックな A/AAAA レコードがこのサーバーを指しているホスト名のみを含めてください。他の場所でホストされているルート ドメインを含めると、HTTP-01 検証が失敗します。 |
MTA-STS & TLS-RPT (RFC 8461 / 8460) |
HTTPS ポリシーにより、送信側 MTA に対して、お客様のドメイン宛てのメールを認証済み TLS でのみ配信するよう指示します。 | Integrierter Policy-Endpunkt |
/admin/ で TLS-RPT レポートを監視しながら testing モードで開始し、その後ポリシー モードを enforce に切り替えます。 |
DANE TLSA (_25._tcp.<ServerHostName>) |
サーバーの SubjectPublicKeyInfo の SHA-256 ダイジェストを、DNSSEC 署名付きの DNS (_25._tcp.mail.company.com) に固定します。 | 3 1 1 <SPKI-SHA256-Hash> |
DNSSEC で署名されたゾーンでのみ、#pTls で生成された正確な '3 1 1' SPKI SHA-256 レコードを公開してください。 |
BIMI Markenlogo (default._bimi) |
対応するメール クライアントで、検証済みのブランド マーク (SVG Tiny 1.2 PS) をメッセージの横に表示します。 | Integrierter SVG-Sanitizer |
DMARC p=quarantine または p=reject が必要です。#pTls で SVG をアップロードすると、自動的にサニタイズされ、適切な CORS ヘッダー付きでホストされます。 |