MTA-STS, BIMI og TLS-RPT: trenger en liten bedrift dette?

Du har fått DMARC, DKIM og SPF på plass. Så kjører du en domenesjekk, og det dukker opp tre forkortelser til. Må du gjøre noe med dem?

Kort svar: sjelden med en gang, og for de fleste små virksomheter er bare én av dem verdt jobben. Her er hva de gjør, og når de faktisk betyr noe.

MTA-STS: krever at forbindelsen er kryptert

Når to e-postservere snakker sammen, forsøker de kryptering. Men i den opprinnelige protokollen er det frivillig: blir krypteringen av en eller annen grunn ikke tilgjengelig, sendes meldingen i klartekst i stedet for å stoppe. Det åpner for at noen midt imellom kan presse forbindelsen ned til ukryptert og lese med.

MTA-STS er domenet ditt som sier: «e-post til oss skal alltid sendes kryptert, og her er hvilke servere som er våre. Er ikke det mulig, la være å sende.»

Verdt det? For de fleste små virksomheter: lav prioritet. Krypteringen skjer i praksis allerede mellom de store leverandørene. Behandler dere sensitive opplysninger, helse, juss eller personopplysninger i et visst omfang, flytter det seg oppover på listen. Merk også at MTA-STS krever at dere publiserer en fil på et underdomene over HTTPS, så det er litt mer enn én DNS-oppføring.

TLS-RPT: rapporter om krypteringen faktisk virket

TLS-RPT er en enkelt TXT-oppføring som ber andre e-postsystemer sende deg en daglig rapport om hvorvidt de klarte å levere kryptert til dere.

Verdt det? Bare sammen med MTA-STS. Alene forteller den deg om et problem du ikke har bedt noen om å løse. Setter dere opp MTA-STS, bør TLS-RPT følge med, for ellers vet dere ikke om policyen gjør skade.

BIMI: logoen deres i innboksen

BIMI handler ikke om sikkerhet, men om gjenkjennelse. Den lar e-postleverandører vise firmalogoen deres ved siden av meldingen i innboksen, i stedet for en bokstav i en sirkel.

To forutsetninger er viktige. For det første krever BIMI at DMARC allerede står på quarantine eller reject. Det er hele poenget: logoen er en belønning for at domenet er sikret. For det andre krever flere av de store mottakerne et verifisert varemerkesertifikat, og det koster penger årlig og forutsetter et registrert varemerke.

Verdt det? Sender dere mye markedsføring til forbrukere og har et registrert varemerke, kan det forsvares. Er dere en liten B2B-virksomhet som sender fakturaer og tilbud, er pengene nesten alltid bedre brukt andre steder.

Prioriteringen, hvis du vil ha den kort

1. DMARC, DKIM og SPF først. Hele gevinsten ligger her. Er ikke DMARC på reject, er det neste steg, ikke de tre over.
2. MTA-STS og TLS-RPT hvis dere har sensitive opplysninger i e-posten, eller en kunde krever det i en avtale.
3. BIMI hvis dere allerede har varemerke og driver med utsendelser i volum.

En domenesjekk som slår ut på disse tre betyr altså ikke at noe er galt. Det betyr at det finnes mer å hente hvis dere trenger det. Det er forskjell på en mangel og en mulighet, og en god sjekk skal si hvilken av delene det er.

Er du usikker på om dere trenger MTA-STS, er det oftest et spørsmål om hva slags opplysninger som går på e-post hos dere. Ta en prat med oss, eller les om IT-sikkerhet.