Capitolo 05 Rete, DNS & crittografia Admin: #pTls

Let's Encrypt ACME v2 (SNI a 0 ms), MTA-STS, DANE & BIMI

nextxch automatizza l'emissione e il rinnovo dei certificati X.509 tramite Let's Encrypt ACME v2, sostituendo a caldo i certificati rinnovati in 0 ms su HTTPS, SMTPS, STARTTLS, IMAPS e ManageSieve senza alcuna connessione interrotta.

Suggerimento operativo & nota sull'architettura

Dettaglio DANE (TLSA) cruciale: pubblicare sempre i record DANE con Usage 3, Selector 1 (chiave pubblica SPKI), MatchingType 1 (SHA-256), cioè '3 1 1'. Non usare mai '3 0 1' (hash del certificato completo) con i rinnovi automatici Let's Encrypt a 60 giorni, a meno che gli aggiornamenti DNS non siano automatizzati!

Record DNS DANE TLSA (3 1 1) & MTA-STS

Il digest SPKI SHA-256 esatto del certificato attivo viene calcolato pronto da copiare in #pTls nell'Admin Cockpit.

Riferimento / configurazione

_25._tcp.mail.firma.de.  3600 IN TLSA 3 1 1 e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
_mta-sts.firma.de.       3600 IN TXT  "v=STSv1; id=20261030"
_smtp._tls.firma.de.     3600 IN TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@firma.de"
default._bimi.firma.de.  3600 IN TXT  "v=BIMI1; l=https://mail.firma.de/bimi/firma.de/logo.svg;"

Impostazioni, valori predefiniti e best practice

Impostazione / posizione	Descrizione	Valore predefinito	Best practice per la produzione
`ACME SAN-Domains (#pTls)`	Subject Alternative Names inclusi nel certificato Let's Encrypt, rinnovato automaticamente 30 giorni prima della scadenza.	`ServerHostName vorausgewählt`	Includere SOLO nomi host i cui record A/AAAA pubblici puntano a questo server! Includere un dominio radice ospitato altrove fa fallire la validazione HTTP-01.
`MTA-STS & TLS-RPT (RFC 8461 / 8460)`	Indica ai MTA mittenti, tramite una policy HTTPS, di recapitare la posta al proprio dominio esclusivamente tramite TLS autenticato.	`Integrierter Policy-Endpunkt`	Iniziare in modalità testing monitorando i report TLS-RPT in /admin/, quindi passare la modalità della policy a enforce.
`DANE TLSA (_25._tcp.<ServerHostName>)`	Fissa il digest SHA-256 del SubjectPublicKeyInfo del server nel DNS firmato con DNSSEC (_25._tcp.mail.company.com).	`3 1 1 <SPKI-SHA256-Hash>`	Pubblicare SOLO su zone firmate DNSSEC, usando l'esatto record SPKI SHA-256 '3 1 1' generato in #pTls.
`BIMI Markenlogo (default._bimi)`	Mostra il marchio verificato (SVG Tiny 1.2 PS) accanto ai messaggi nei client di posta che lo supportano.	`Integrierter SVG-Sanitizer`	Richiede DMARC p=quarantine o p=reject. Caricare il proprio SVG in #pTls per sanificarlo e ospitarlo automaticamente con gli header CORS corretti.