DANE TLSA Generator

Como usar este gerador DANE TLSA

Gere o seu registo TLSA em 3 passos. Precisa apenas do certificado PEM do seu servidor de email.

Passo 1: Configurar os parâmetros TLSA

Cada parâmetro impacta a segurança e a manutenção do seu registo. Veja as recomendações:

Configuração recomendada para SMTP:

Passo 2: Fornecer o certificado

Cole o seu certificado no formato PEM. Se não tem o ficheiro, extraia-o diretamente do servidor:

-----BEGIN CERTIFICATE-----
MIIFazCCA1OgAwIBAgIRAIIQz7DSQON...
-----END CERTIFICATE-----

Como obter o certificado:

# Do seu servidor de email via STARTTLS
openssl s_client -connect mail.captaindns.com:25 -starttls smtp 2>/dev/null | openssl x509

# De um ficheiro no servidor
cat /etc/letsencrypt/live/mail.captaindns.com/cert.pem

Passo 3: Copiar e publicar

O gerador produz um registo DNS pronto para colar no seu fornecedor. Copie o resultado com um clique:

_25._tcp.mail.captaindns.com.  IN  TLSA  3 1 1 2bb183af2e2b295b444c1fd4072f2b59a8c1c9abf7f3f1e9b0d4c7e8f1a2b3c4

Passo 4: Verificar a implantação

Use o nosso DANE TLSA Checker para confirmar que o registo está online e corretamente assinado por DNSSEC.

Guia dos parâmetros TLSA

Cada parâmetro TLSA afeta a segurança e a facilidade de manutenção. Escolha com cuidado.

Certificate Usage: qual tipo escolher?

Para SMTP (RFC 7672), apenas DANE-TA (2) e DANE-EE (3) são usados. PKIX-TA (0) e PKIX-EE (1) existem na RFC 6698, mas não se aplicam ao SMTP oportunista: os MTA apoiam-se em DNSSEC, não na validação PKIX.

Por predefinição, escolha DANE-EE (3) com selector SPKI (1) e matching SHA-256 (1). É a opção mais simples e robusta. DANE-TA (2) é uma opção avançada sujeita a uma restrição de cadeia (consulte as estratégias de implantação).

Selector: Cert vs SPKI

SPKI (1) é recomendado para reduzir a frequência das atualizações DNS.

Matching Type: Full vs Hash

Use SHA-256 (1). Full (0) cria registos DNS demasiado grandes e pode causar truncamento UDP. SHA-512 (2) não oferece benefício real em relação ao SHA-256.

Pré-requisito: DNSSEC

Sem DNSSEC, os seus registos TLSA são completamente ignorados. Antes de publicar um registo TLSA, deve ativar DNSSEC:

Verificar DNSSEC

1. Verifique se o seu registrar suporta DNSSEC
2. Ative a assinatura DNSSEC no seu fornecedor de DNS
3. Adicione os registos DS no seu registrar
4. Aguarde a propagação (pode levar 24-48h)

Fornecedores de DNS com DNSSEC

Estratégias de implantação

Cenário 1: Let's Encrypt com reutilização de chave

Configuração:

# Gerar com reutilização de chave
certbot certonly --reuse-key -d mail.captaindns.com

# Registo TLSA (não muda entre renovações)
3 1 1 <sha256-spki>

Vantagem: O registo TLSA nunca muda enquanto a chave for reutilizada.

Cenário 2: Let's Encrypt com DANE-TA (opção avançada)

Com DANE-TA (usage 2), o certificado fixado - ou um certificado por ele assinado - DEVE estar presente na cadeia TLS enviada pelo servidor (RFC 7671 secção 5). Mas os MTA geralmente NÃO enviam o certificado raiz: fixe o intermediário realmente servido (por exemplo Let's Encrypt R10/R11), não a raiz ISRG Root X1.

Configuração:

# Fixar o intermediário realmente enviado pelo servidor (ex. R10/R11)
2 1 1 <sha256-spki-do-intermediario>

Aviso: se fixar uma raiz (ISRG Root X1), configure o servidor para incluir esse certificado na cadeia TLS, caso contrário a validação DANE-TA falha. Em caso de dúvida, prefira DANE-EE (3) + SPKI (1), que não tem essa restrição de cadeia.

Vantagem: Nenhuma atualização DNS necessária enquanto o intermediário permanecer inalterado na cadeia.

Cenário 3: Rotação com registo duplo

Antes da rotação:

_25._tcp.mail.captaindns.com.  TLSA  3 1 1 <hash-cert-atual>
_25._tcp.mail.captaindns.com.  TLSA  3 1 1 <hash-cert-futuro>

Após a rotação: Remova o hash antigo.

Publicação DNS por fornecedor

Cloudflare

1. Aceda às definições de DNS do seu domínio
2. Adicione um registo:
   • Type: TLSA
   • Nome: _25._tcp.mail
   • Usage: 3
   • Selector: 1
   • Matching Type: 1
   • Certificate: O seu hash SHA-256

AWS Route 53

1. Abra a zona alojada
2. Crie um registo:
   • Nome: _25._tcp.mail.captaindns.com
   • Type: TLSA
   • Valor: 3 1 1 <hash>
   • TTL: 3600

OVH / Formato genérico

1. Aceda à zona DNS
2. Adicione uma entrada:
   • Subdomínio: _25._tcp.mail
   • Type: TLSA
   • Destino: 3 1 1 <hash>
   • TTL: 3600

Boas práticas e armadilhas comuns

DANE é rigoroso: uma configuração incorreta bloqueia a receção do correio. Evite estas armadilhas clássicas.

• DNSSEC obrigatório: sem uma zona assinada e validada, os resolvedores ignoram o registo TLSA e o DANE fica totalmente inoperante. É o erro número um.
• Rotação aditiva: publique o NOVO registo TLSA ALÉM do antigo, aguarde a propagação DNS e a expiração do TTL, e remova o antigo apenas após desativar o certificado anterior. Nunca apague o antigo antes de o novo se ter propagado.
• Publish-then-deploy: publique e deixe o registo TLSA propagar-se ANTES de trocar o certificado no servidor, nunca o contrário.
• SPKI sobrevive à renovação: com o selector SPKI (1), enquanto a mesma chave for reutilizada, o registo permanece válido após a renovação, o que reduz as atualizações DNS. O selector Cert (0) obriga a republicar a cada renovação.
• Correspondência com o certificado servido: o registo TLSA deve corresponder ao certificado realmente apresentado pelo MX. Uma divergência entre hostname e certificado provoca a falha da validação.

Segurança de email completa com DANE

DANE é um dos três pilares da segurança do transporte de email. Para uma proteção completa, implante os três:

1. DANE (Autenticação de certificado via DNS)

Verifica a identidade do servidor destinatário via DNSSEC.

• Use este gerador
• Verificar a implantação DANE

2. MTA-STS (Aplicação TLS via HTTPS)

Alternativa a DANE sem DNSSEC.

• Gerar uma política MTA-STS
• Verificar MTA-STS

3. TLS-RPT (Reportar as falhas)

Reporta falhas de ligação TLS (DANE e MTA-STS).

• Gerar um registo TLS-RPT
• Verificar TLS-RPT

Ordem de implantação recomendada

Siga esta sequência para evitar falhas durante a implantação:

1. Ativar DNSSEC no domínio - pré-requisito absoluto
2. Publicar os registos TLSA (DANE) - use este gerador
3. Configurar TLS-RPT para receber relatórios de falha
4. Opcionalmente, adicionar MTA-STS como camada adicional
5. Monitorizar os relatórios TLS-RPT regularmente

FAQ - Perguntas frequentes

P: Como criar um registo DANE TLSA?

R: Use o nosso gerador: selecione o tipo de usage (DANE-EE recomendado), o selector (SPKI para estabilidade), o matching type (SHA-256) e cole o seu certificado PEM. A ferramenta gera o registo DNS completo pronto para publicar.

P: Qual usage de certificado escolher para DANE?

R: Para a maioria das implantações SMTP, DANE-EE (3) com selector SPKI e matching SHA-256 é recomendado. Para facilitar a rotação de certificado, use DANE-TA (2) sobre o intermediário que o servidor envia de facto, não sobre a raiz: a RFC 7671 secção 5.2.2 exige que o certificado fixado conste da cadeia TLS.

P: Devo usar o certificado completo ou um hash?

R: Use sempre um hash SHA-256. Os dados completos (matching type 0) criam registos DNS muito grandes com risco de truncamento UDP. SHA-256 produz uma string compacta de 64 caracteres.

P: O que é o selector SPKI?

R: O selector SPKI (1) faz hash apenas da chave pública do certificado. O registo TLSA permanece válido quando renova com o mesmo par de chaves, ao contrário do selector Cert (0) que muda a cada renovação.

P: Como implantar um registo DANE TLSA?

R: 1) Ative DNSSEC, 2) Adicione o TLSA em _25._tcp.seuservidordeemail, 3) Aguarde a propagação DNS, 4) Verifique com o nosso DANE TLSA Checker. O registo deve ser assinado por DNSSEC.

P: Como gerir as renovações Let's Encrypt com DANE?

R: Duas estratégias: DANE-TA (usage 2) sobre o intermediário Let's Encrypt realmente servido (R10 ou R11), não sobre a raiz ISRG Root X1, que os MTA não enviam na cadeia TLS. Ou DANE-EE (usage 3) com selector SPKI e --reuse-key no Certbot.

Ferramentas complementares

Recursos úteis

• RFC 6698 - DANE TLSA (especificação original)
• RFC 7671 - Updates to DANE (atualizações operacionais)
• RFC 7672 - SMTP Security via DANE (DANE para SMTP)
• Certbot - Reuse Key (reutilização de chave para DANE)
• Microsoft - DANE with DNSSEC (guia Exchange Online)