hmLoadTopic({
hmKeywords:"SSL e TLS,SSL e TLS Elenco STARTTLS,Elenco STARTTLS,Elenco richiesto STARTTLS",
hmTitle:"Estensioni SMTP",
hmDescription:"Estensioni SMTP Attiva REQUIRETLS (RFC 8689) RequireTLS consente di contrassegnare i messaggi che devono essere inviati usando TLS. Se l\'invio tramite TLS non è possibile (o se",
hmPrevLink:"ssl_starttls-required-list.html",
hmNextLink:"ssl_dnssec.html",
hmParentLink:"ssl__certificates.html",
hmBreadCrumbs:"<a href=\"security_menu.html\">Menu Sicurezza<\/a> &gt; Security Manager &gt; <a href=\"ssl__certificates.html\">SSL e TLS<\/a>",
hmTitlePath:"Menu Sicurezza > Security Manager > SSL e TLS > Estensioni SMTP",
hmHeader:"<h1 class=\"p_Heading1\" style=\"page-break-after: avoid;\"><span class=\"f_Heading1\">Estensioni SMTP<\/span><\/h1>\n\r",
hmBody:"<p class=\"p_BodyText_Center\"><img style=\"margin:0 auto 0 auto;width:32.5000rem;height:24.5000rem;border:none\" src=\".\/images\/ssl-tls_smtp_extensions.png\"\/><\/p>\n\r<p class=\"p_DialogSectionHeading\" style=\"page-break-after: avoid;\"><span class=\"f_DialogSectionHeading\">Estensioni SMTP<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">Attiva REQUIRETLS (RFC 8689)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS consente di contrassegnare i messaggi che <\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">devono<\/span><span class=\"f_ControlIndent\"> essere inviati usando TLS. Se l\'invio tramite TLS non è possibile (o se i parametri dello scambio del certificato TLS sono inaccettabili) i messaggi torneranno al mittente invece di essere consegnati in modo non sicuro. Per una descrizione completa di RequireTLS, vedere: <a href=\"https:\/\/tools.ietf.org\/html\/rfc8689\" target=\"_blank\" class=\"weblink\" title=\"Opzione SMTP Richiedi TLS\">RFC 8689: Opzione SMTP Richiedi TLS<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS è attivato per impostazione predefinita, ma solo i messaggi contrassegnati in modo specifico con una regola creata usando una nuova <a href=\"cf_creating_a_new_content_filter_rule.html\" class=\"topiclink\">azione ContentFilter<\/a>, &quot;<\/span><span class=\"f_ControlIndent\" style=\"font-style: italic;\">Contrassegna messaggi per REQUIRETLS...<\/span><span class=\"f_ControlIndent\">&quot;, o i messaggi inviati a <\/span><span class=\"f_PlainText\">&lt;local-part&gt;+requiretls@domain.tld<\/span><span class=\"f_ControlIndent\"> (ad esempio, <\/span><span class=\"f_PlainText\">arvel+requiretls@mdaemon.com<\/span><span class=\"f_ControlIndent\">) sono sottoponibili all’elaborazione RequireTLS. Tutti gli altri messaggi vengono trattati come se il servizio fosse disattivato. Esistono diversi requisiti da soddisfare perché un messaggio possa essere inviato usando RequireTLS. In mancanza di alcuni di essi i messaggi non saranno inviati e torneranno al mittente invece di essere inviati in modo non sicuro. I requisiti sono:<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">RequireTLS deve essere attivato.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Il messaggio deve essere contrassegnato come richiedente l’uso di RequireTLS, mediante l’azione di filtro contenuti o l’indirizzo “<\/span><span class=\"f_PlainText\">&lt;localpart&gt;+requiretls@...<\/span><span class=\"f_List12\">.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Le ricerche DNS degli host MX destinatari devono utilizzare <a href=\"ssl_dnssec.html\" class=\"topiclink\">DNSSEC<\/a> (vedere di seguito) oppure MX deve essere convalidato da MTA-STS.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">La connessione all’host ricevente deve utilizzare SSL (STARTTLS).<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Il certificato SSL dell’host ricevente deve corrispondere al nome host MX e concatenarsi a una CA attendibile.<\/span><\/p>\n\r<p class=\"p_List12_LastItem\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12_LastItem\">Il server di posta ricevente deve supportare REQUIRETLS e dichiararlo nella risposta EHLO.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS richiede la ricerca DNSSEC degli host di record MX, oppure MX deve essere convalidato da MTA-STS. È possibile <a href=\"ssl_dnssec.html\" class=\"topiclink\">configurare DNSSEC<\/a> specificando i criteri in base ai quali le ricerche richiederanno il servizio DNSSEC. <a href=\"ip-cache.html\" class=\"topiclink\">Cache IP<\/a> di MDaemon ha un’opzione per l’accettazione delle asserzioni DNSSEC ed esistono istruzioni correlate a DNSSEC all’inizio del <a href=\"default-domain-and-servers_dns.html\" class=\"topiclink\">file degli host MX<\/a>. Infine, DNSSEC richiede server DNS configurati in modo appropriato, operazione che non viene illustrata nel presente file della Guida in linea.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"mta-sta\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">Attiva<\/span><span class=\"f_ControlHeading\"> MTA-STS (RFC 8461)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Il supporto di MTA-STS è attivato per impostazione predefinita ed è descritto in <a href=\"https:\/\/tools.ietf.org\/html\/rfc8461\" target=\"_blank\" class=\"weblink\" title=\"Opzione SMTP Richiedi TLS\">RFC 8461: SMTP MTA Strict Transport Security (MTA-STS)<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">SMTP MTA Strict Transport Security (MTA-STS) è un meccanismo che consente ai fornitori di servizi di posta (SP) di dichiarare la propria idoneità a ricevere connessioni SMTP protette con Transport Layer Security (TLS) e di specificare se i server SMTP di invio si rifiuterebbero di recapitare posta a host MX che non offrono TLS con un certificato di server affidabile. Per impostare MTA-STS per il proprio dominio, è necessario disporre di un file di policy MTA-STS che si può scaricare via HTTPS dall’URL https:\/\/mta-sts.dominio.tld\/.well-known\/mta-sts.txt, dove per “dominio.tld&quot; si intende il nome del proprio dominio. Il file di testo della policy deve contenere stringhe nel seguente formato: <\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">version: STSv1<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mode: testing<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mx: mail.domain.tld<\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">max_age: 86400<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">La modalità può essere &quot;none&quot;, &quot;testing&quot; o &quot;enforce&quot;. Deve essere presente una stringa &quot;mx&quot; per ciascuno dei nomi di host MX. È possibile utilizzare un carattere jolly per i sottodomini, ad esempio “*.dominio.tld&quot;. Il valore di max_age è espresso in secondi. I valori più comuni sono 86400 (1 giorno) e 604800 (1 settimana). <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">È inoltre necessario un record TXT DNS in _mta-sts.dominio.tld, dove per “dominio.tld&quot; si intende il nome del proprio dominio. Deve essere presente un valore nel formato: <\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">v=STSv1; id=20200206T010101;<\/span><span class=\"f_ControlIndent\"> <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Il valore di &quot;id&quot; deve essere modificato ogni volta che si cambia file di policy. Di solito si utilizza un indicatore di data e ora come id.<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">Elenco esenzioni<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_List1\">Utilizzare questo elenco per esentare specifici domini da MTA-STS.<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">Aggiungi record<\/span><span class=\"f_ControlHeading2\"> MTA-STS DNS in cache<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_ControlIndent2\">Per impostazioni MDaemon aggiunge i record MTA-STS DNS in cache. Fare cli su <\/span><span class=\"f_ControlIndent2\" style=\"font-weight: bold;\">Modifica<\/span><span class=\"f_ControlIndent2\"> per visualizzare o modificare il file della cache corrente.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"tls_reporting\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">Attiva report TLS (RFC 8460)<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">I report TLS sono disabilitati per impostazione predefinita e illustrati in <a href=\"https:\/\/tools.ietf.org\/html\/rfc8460\" target=\"_blank\" class=\"weblink\" title=\"Opzione SMTP Richiedi TLS\">RFC 8460: Report TLS SMTP<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">I report TLS consentono ai domini di che utilizzano MTA-STS di ricevere notifiche relative agli eventuali errori di recupero delle policy MTA-STS o di negoziazione di un canale sicuro che utilizzi STARTTLS. Quando i report sono abilitati, MDaemon invia un report giornaliero a ciascun dominio abilitato per STS a cui ha inviato (o tentato di inviare) posta durante la giornata. Sono disponibili diverse opzioni per configurare le informazioni che saranno contenute dai report. <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Per abilitare i report TLS per il proprio dominio, è necessario attivare la <a href=\"security--dkim_sign.html\" class=\"topiclink\">firma DKIM<\/a> e creare un record TXT DNS in <\/span><span class=\"f_PlainText\">_smtp._tls.dominio.tld<\/span><span class=\"f_ControlIndent\">, dove per “dominio.tld” si intende il nome del proprio dominio, con un valore nel seguente formato:<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_PlainText\">v=TLSRPTv1; rua=mailto:mailbox@dominio.tld<\/span><span class=\"f_ControlIndent\"> <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Dove mailbox@dominio.tld è l’indirizzo e-mail a cui si desidera che vengano inviati i report per il proprio dominio. <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">&nbsp;<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r<p style=\"text-indent: -1.4375rem; margin: 0.3125rem 0.5625rem 1.5000rem 3.0000rem;\"><span style=\"font-family: Arial,Helvetica,sans-serif; color: #000000;\">&nbsp;<\/span><\/p>\n\r<p class=\"p_BodyText\"><span class=\"f_BodyText\">&nbsp;<\/span><\/p>\n\r"
})
