Capítulo 05 Rede, DNS & criptografia Admin: #pTls

Let's Encrypt ACME v2 (SNI em 0 ms), MTA-STS, DANE & BIMI

O nextxch automatiza a emissão e a renovação de certificados X.509 via Let's Encrypt ACME v2, substituindo a quente os certificados renovados em 0 ms em HTTPS, SMTPS, STARTTLS, IMAPS e ManageSieve, sem nenhuma conexão perdida.

Dica operacional & nota de arquitetura

Detalhe crucial do DANE (TLSA): publique sempre os registros DANE com Usage 3, Selector 1 (chave pública SPKI), MatchingType 1 (SHA-256), ou seja, '3 1 1'. Nunca use '3 0 1' (hash do certificado completo) com renovações automáticas de 60 dias do Let's Encrypt, a menos que as atualizações de DNS sejam automatizadas!

Registros DNS DANE TLSA (3 1 1) & MTA-STS

O digest SPKI SHA-256 exato do seu certificado ativo é calculado, pronto para copiar, em #pTls no Admin Cockpit.

Referência / configuração

_25._tcp.mail.firma.de.  3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de.       3600 IN TXT  "v=STSv1; id=20261030"
_smtp._tls.firma.de.     3600 IN TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de.  3600 IN TXT  "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"

Configurações, valores padrão e boas práticas

Configuração / local	Descrição	Valor padrão	Boa prática para produção
`ACME SAN-Domains (#pTls)`	Subject Alternative Names incluídos no certificado Let's Encrypt, renovado automaticamente 30 dias antes do vencimento.	`ServerHostName vorausgewählt`	Inclua SOMENTE hostnames cujos registros A/AAAA públicos apontem para este servidor! Incluir um domínio raiz hospedado em outro lugar fará a validação HTTP-01 falhar.
`MTA-STS & TLS-RPT (RFC 8461 / 8460)`	Instrui os MTAs remetentes, por meio de uma política HTTPS, a entregar e-mails ao seu domínio estritamente via TLS autenticado.	`Integrierter Policy-Endpunkt`	Comece no modo testing enquanto monitora os relatórios TLS-RPT no /admin/ e, em seguida, mude o modo da política para enforce.
`DANE TLSA (_25._tcp.<ServerHostName>)`	Fixa o digest SHA-256 do SubjectPublicKeyInfo do seu servidor no DNS assinado com DNSSEC (_25._tcp.mail.company.com).	`3 1 1 <SPKI-SHA256-Hash>`	Publique SOMENTE em zonas assinadas com DNSSEC, usando o registro SPKI SHA-256 '3 1 1' exato gerado em #pTls.
`BIMI Markenlogo (default._bimi)`	Exibe sua marca verificada (SVG Tiny 1.2 PS) ao lado das suas mensagens nos clientes de e-mail compatíveis.	`Integrierter SVG-Sanitizer`	Requer DMARC p=quarantine ou p=reject. Envie seu SVG em #pTls para sanitizá-lo e hospedá-lo automaticamente com os cabeçalhos CORS adequados.