Lue TLS-raporttisi

Kaikissa paketeissa

TLS-raportti kertoo, pystyivätkö verkkotunnuksellesi postia toimittaneet palvelimet salaamaan yhteytensä postipalvelimiisi. Avaa verkkotunnus ja sen TLS-RPT-sivu. Siellä näkyvä virhe koskee sinulle tulevaa postia, ei lähettämääsi postia. Jokaisessa virheessä on syy, ja syy kertoo, mistä vikaa kannattaa etsiä.

Näin raportit alkavat tulla

TLS-raportteja alkaa tulla, kun verkkotunnuksella on TLS-RPT-tietue nimellä _smtp._tls.example.com ja raportointiosoitteesi on siinä. Tietueet-välilehti muodostaa tietueen: katso TLS-RPT-tietue. DNS-tarkistuksemme kertovat, jos tietue puuttuu tai ohjaa raportit muualle.

Mitä sivulla näkyy

Sivu näyttää kohdassa Ikkuna valitsemasi aikavälin samoin kuin Raportit-sivu.

• Kortti jokaisesta käytännöstä, jota raportit koskivat. Kortissa on käytännön verkkotunnus ja tyyppi: MTA-STS-käytäntö, DANE-käytäntö tai ei julkaistua käytäntöä. Kortti luettelee käytännön nimeämät MX-palvelimet. Sen lause tiivistää aikavälin: montako yhteyttä onnistui, montako epäonnistui ja mikä oli yleisin syy.
• Kaavio onnistuneista ja epäonnistuneista yhteyksistä päivä päivältä.
• Virhetaulukko, eniten yhteyksiä ensin. Jokainen rivi kertoo lauseella, mitä tapahtui, ja korjauksen, jos se tiedetään. Rivillä on myös vastaanottava MX-palvelin, lähettävän palvelimen IP-osoite ja epäonnistuneiden yhteyksien määrä.
• Raportit, uusin ensin. Jokaisessa on samat kolme välilehteä kuin koontiraportissa: Jäsennetty, Alkuperäinen ja Lataus.

Mitä kukin virhe tarkoittaa

Jokaisessa virheessä on jokin RFC 8460:n määrittelemistä tulostyypeistä. Tulostyyppien taulukossa on kunkin lause ja korjaus, jos se tiedetään. Tyypit jakautuvat neljään ryhmään:

• Ei salausta lainkaan. starttls-not-supported: vastaanottava palvelin ei tarjonnut STARTTLS:ää. Tarkista, että jokainen MX-palvelin tarjoaa sen.
• MX-palvelimen varmenne. certificate-host-mismatch, certificate-expired, certificate-not-trusted ja validation-failure. Vanhentunut varmenne uusitaan MX-palvelimella.
• DANE. tlsa-invalid, dnssec-invalid ja dane-required: vastaanottavan palvelimen TLSA-tietue ei vastannut sen varmennetta, ei läpäissyt DNSSEC-tarkistusta tai puuttui, vaikka DANE vaadittiin.
• MTA-STS-käytäntösi. sts-policy-fetch-error, sts-policy-invalid ja sts-webpki-invalid: lähettävä palvelin ei saanut haettua käytäntötiedostoa HTTPS:n kautta, ei pystynyt lukemaan sitä tai ei luottanut sen palvelimen varmenteeseen, jolta tiedosto haetaan.

TLS-virheiden hälytys

Pro-paketista alkaen hälytys TLS-virheet on oletuksena käytössä. Se laukeaa, kun yhden päivän raporteissa on vähintään 10 epäonnistunutta yhteyttä ja virheiden osuus päivän yhteyksistä on vähintään 1 %. Hälytys kertoo yleisimmän syyn korjauksen, jos se tiedetään. Hälytys ei laukea, kun verkkotunnuksen ensimmäisestä raportista on kulunut alle 7 päivää. Teams-paketista alkaen ylläpitäjä voi muuttaa kumpaakin kynnysarvoa.

MTA-STS-tarkistukset raporttien rinnalla

Raportit kertovat, mitä yhteyksille tapahtui. DNS-tarkistuksemme kertovat, mitä MTA-STS-käytäntösi vaatii. Testing-tilassa lähettävät palvelimet raportoivat ongelmista ja toimittavat postin silti perille. Enforce-tilassa ne vaativat TLS-yhteyden postipalvelimiisi eivätkä toimita postia palvelimelle, jota käytäntö ei nimeä.

Aseta käytäntö siis ensin testing-tilaan ja lue TLS-raportteja, kunnes niissä ei enää näy virheitä. Vasta sitten vaihda se enforce-tilaan. Kun raporteissa näkyy sts-policy-fetch-error, käytäntötiedoston tarkistuksemme osoitteessa https://mta-sts.example.com/.well-known/mta-sts.txt kertoo, saimmeko mekään sitä haettua.

Julkaistu 27. lokakuuta 2026 · Tarkistettu 27. lokakuuta 2026