Capítulo 05 Redes, DNS & criptografía Admin: #pTls

Let's Encrypt ACME v2 (0 ms SNI), MTA-STS, DANE & BIMI

nextxch automatiza la emisión y la renovación de certificados X.509 mediante Let's Encrypt ACME v2 e intercambia en caliente los certificados renovados en 0 ms en HTTPS, SMTPS, STARTTLS, IMAPS y ManageSieve sin perder ninguna conexión.

Consejo operativo y nota de arquitectura

Detalle crucial de DANE (TLSA): publique siempre los registros DANE con Usage 3, Selector 1 (clave pública SPKI), MatchingType 1 (SHA-256), es decir, '3 1 1'. No use nunca '3 0 1' (hash del certificado completo) con renovaciones automáticas de Let's Encrypt cada 60 días, salvo que automatice las actualizaciones de DNS.

Registros DNS DANE TLSA (3 1 1) & MTA-STS

El resumen SPKI SHA-256 exacto de su certificado activo se calcula listo para copiar en #pTls del Admin Cockpit.

Referencia / configuración

_25._tcp.mail.firma.de.  3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de.       3600 IN TXT  "v=STSv1; id=20261030"
_smtp._tls.firma.de.     3600 IN TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de.  3600 IN TXT  "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"

Configuración, valores predeterminados y buenas prácticas

Ajuste / ubicación	Descripción	Valor predeterminado	Buena práctica de producción
`ACME SAN-Domains (#pTls)`	Nombres alternativos del sujeto (SAN) incluidos en el certificado de Let's Encrypt, renovado automáticamente 30 días antes de su caducidad.	`ServerHostName vorausgewählt`	¡Incluya SOLO nombres de host cuyos registros A/AAAA públicos apunten a este servidor! Si incluye un dominio raíz alojado en otro lugar, la validación HTTP-01 fallará.
`MTA-STS & TLS-RPT (RFC 8461 / 8460)`	Indica a los MTA remitentes, mediante una política HTTPS, que entreguen el correo a su dominio exclusivamente a través de TLS autenticado.	`Integrierter Policy-Endpunkt`	Empiece en modo testing mientras supervisa los informes TLS-RPT en /admin/ y, después, cambie el modo de la política a enforce.
`DANE TLSA (_25._tcp.<ServerHostName>)`	Fija el resumen SHA-256 de SubjectPublicKeyInfo de su servidor en DNS firmado con DNSSEC (_25._tcp.mail.company.com).	`3 1 1 <SPKI-SHA256-Hash>`	Publique ÚNICAMENTE en zonas firmadas con DNSSEC, usando el registro SPKI SHA-256 '3 1 1' exacto generado en #pTls.
`BIMI Markenlogo (default._bimi)`	Muestra su marca verificada (SVG Tiny 1.2 PS) junto a sus mensajes en los clientes de correo compatibles.	`Integrierter SVG-Sanitizer`	Requiere DMARC p=quarantine o p=reject. Suba su SVG en #pTls para que se sanee y se aloje automáticamente con las cabeceras CORS adecuadas.