第 05 章网络、DNS & 加密管理：#pTls

Let's Encrypt ACME v2（0 ms SNI）、MTA-STS、DANE & BIMI

nextxch 通过 Let's Encrypt ACME v2 自动签发和续订 X.509 证书，并在 0 毫秒内对 HTTPS、SMTPS、STARTTLS、IMAPS 和 ManageSieve 热替换续订后的证书，不中断任何连接。

运维提示与架构说明

DANE (TLSA) 的关键细节：发布 DANE 记录时务必使用 Usage 3、Selector 1（SPKI 公钥）、MatchingType 1 (SHA-256)，即 '3 1 1'。在使用 60 天自动续订的 Let's Encrypt 证书时，除非已自动化 DNS 更新，否则切勿使用 '3 0 1'（完整证书哈希）！

DANE TLSA (3 1 1) & MTA-STS DNS 记录

管理控制台的 #pTls 中会计算出您当前证书确切的 SPKI SHA-256 摘要，可直接复制。

参考 / 配置

_25._tcp.mail.firma.de.  3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de.       3600 IN TXT  "v=STSv1; id=20261030"
_smtp._tls.firma.de.     3600 IN TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de.  3600 IN TXT  "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"

设置、默认值与最佳实践

设置 / 位置	说明	默认值	生产环境最佳实践
`ACME SAN-Domains (#pTls)`	Let's Encrypt 证书中包含的使用者可选名称 (SAN)，在到期前 30 天自动续期。	`ServerHostName vorausgewählt`	只能包含公共 A/AAAA 记录指向本服务器的主机名！如果包含托管在其他地方的根域，HTTP-01 验证将失败。
`MTA-STS & TLS-RPT (RFC 8461 / 8460)`	通过 HTTPS 策略指示发送方 MTA 严格经由已认证的 TLS 向您的域投递邮件。	`Integrierter Policy-Endpunkt`	先以 testing 模式启动，同时在 /admin/ 中监控 TLS-RPT 报告，然后将策略模式切换为 enforce。
`DANE TLSA (_25._tcp.<ServerHostName>)`	将服务器 SubjectPublicKeyInfo 的 SHA-256 摘要固定在经 DNSSEC 签名的 DNS 中（_25._tcp.mail.company.com）。	`3 1 1 <SPKI-SHA256-Hash>`	仅在已进行 DNSSEC 签名的区域上发布，并使用 #pTls 中生成的确切 '3 1 1' SPKI SHA-256 记录。
`BIMI Markenlogo (default._bimi)`	在支持的邮件客户端中，在您的邮件旁显示经过验证的品牌标志（SVG Tiny 1.2 PS）。	`Integrierter SVG-Sanitizer`	需要 DMARC p=quarantine 或 p=reject。在 #pTls 中上传您的 SVG，系统会自动对其进行清理并以正确的 CORS 头托管。