DANE (authentification basée sur DNS des entités nommées) utilise les enregistrements TLSA signés DNSSEC pour indiquer aux serveurs d'envoi exactement quel certificat TLS attendre, forçant ainsi la livraison SMTP cryptée et authentifiée. C’est une alternative/complément au MTA-STS ; DANE nécessite DNSSEC, tandis que MTA-STS utilise à la place une stratégie publiée par HTTPS.
Les deux empêchent les attaques par rétrogradation sur le transport du courrier. DANE s'appuie sur les enregistrements DNSSEC + TLSA ; MTA-STS s'appuie sur un fichier de stratégie HTTPS et un enregistrement TXT. Les organisations dotées de DNSSEC déploient souvent DANE ; ceux qui n’en ont pas choisissent généralement MTA-STS.
DANE est courant au sein du gouvernement, des finances et parmi les grands opérateurs de messagerie qui gèrent déjà DNSSEC. Cela nécessite une gestion minutieuse des certificats et des enregistrements TLSA pour éviter d’interrompre la livraison.
Vérifiez votre enregistrement MTA-STS maintenant
Ouvrir le vérificateur MTA-STS gratuit →Vous pouvez publier les deux pour une compatibilité maximale, mais de nombreuses organisations en choisissent une selon qu'elles exécutent ou non DNSSEC. Associez-le à TLS-RPT pour la création de rapports.
