--- title: "Wat is MTA-STS? Uitleg en betekenis | Keurig Online" description: "MTA-STS (MTA Strict Transport Security) is een standaard waarmee je afdwingt dat mail via een versleutelde TLS-verbinding binnenkomt." canonical: https://www.keurigonline.nl/begrippenlijst/mta-sts last_modified: 2025-12-18 --- [Terug naar begrippenlijst](https://www.keurigonline.nl/begrippenlijst) # MTA-STS MTA-STS (MTA Strict Transport Security) is een standaard waarmee je afdwingt dat mail via een versleutelde TLS-verbinding binnenkomt. MTA-STS is een standaard waarmee je als domeineigenaar vastlegt dat andere mailservers mail voor jouw domein alleen via een versleutelde en gecontroleerde verbinding mogen afleveren. MTA staat voor Mail Transfer Agent, oftewel de mailserver, en STS voor Strict Transport Security. Het idee lijkt op HSTS voor websites. Mailservers versleutelen hun verkeer met STARTTLS, maar dat is vrijblijvend. Een aanvaller tussen twee servers kan de versleuteling wegfilteren, waarna de mail onversleuteld doorgaat: een downgrade-aanval. Met MTA-STS weet de verzendende server vooraf dat jouw domein TLS verwacht, met een geldig certificaat voor de naam van je mailserver. In de modus enforce levert hij de mail niet af als dat ontbreekt. MTA-STS bestaat uit twee delen. Een TXT-record onder \_mta-sts.jouwdomein.nl, bijvoorbeeld v=STSv1; id=20261022, meldt dat er een beleid is. Het beleid zelf is een tekstbestand op https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt met de modus, de toegestane mailservers en een max\_age in seconden, zoals 604800 voor een week. Pas je het beleid aan, verander dan ook de id, zodat verzenders het opnieuw ophalen. Begin altijd met de modus testing en zet er een TLS-RPT-record naast, zodat je rapporten krijgt zonder dat er mail blijft liggen. MTA-STS werkt alleen als de mailserver uit je MX-record een geldig certificaat heeft voor precies die naam, dus vraag dat na bij je mailprovider voordat je enforce instelt. Staat je DNS bij KeurigOnline, dan zet je het TXT-record in Mijn KeurigOnline via Mijn domeinen, Beheren en DNS Beheren. Nederlandse overheden gebruiken vooral DANE, dat hetzelfde doel bereikt via DNSSEC en TLSA-records. ## Geschiedenis MTA-STS is ontwikkeld door mensen van Google, Oath (Yahoo), Comcast en Microsoft, als alternatief voor DANE dat geen DNSSEC nodig heeft. In plaats daarvan leunt MTA-STS op gewone webcertificaten en HTTPS. Het verscheen in september 2018 als [RFC 8461](https://datatracker.ietf.org/doc/html/rfc8461), samen met de rapportagestandaard [TLS-RPT](https://datatracker.ietf.org/doc/html/rfc8460). Belangrijke mijlpalen: - **Oktober 2015:** [RFC 7672](https://datatracker.ietf.org/doc/html/rfc7672) beschrijft DANE voor mailservers, met DNSSEC als voorwaarde - **September 2018:** RFC 8461 (MTA-STS) en RFC 8460 (TLS-RPT) verschijnen - **April 2021:** de EFF stopt met STARTTLS Everywhere en raadt DANE en MTA-STS aan - **Inmiddels:** [Exchange Online](https://learn.microsoft.com/en-us/purview/enhancing-mail-flow-with-mta-sts) ondersteunt MTA-STS voor in- en uitgaande mail ## Bronnen 1. **IETF (2018)** - [RFC 8461 - SMTP MTA Strict Transport Security (MTA-STS)](https://datatracker.ietf.org/doc/html/rfc8461) 2. **IETF (2018)** - [RFC 8460 - SMTP TLS Reporting](https://datatracker.ietf.org/doc/html/rfc8460) 3. **Google Workspace Admin Help** - [About MTA-STS and TLS reporting](https://support.google.com/a/answer/9261504) 4. **Microsoft Learn** - [Enhance mail flow with MTA-STS](https://learn.microsoft.com/en-us/purview/enhancing-mail-flow-with-mta-sts) 5. **Forum Standaardisatie** - [STARTTLS en DANE](https://www.forumstandaardisatie.nl/open-standaarden/starttls-en-dane) ## Gerelateerde artikelen E-mail 27 jun 2026 [Domein beschermen tegen phishing: SPF, DKIM en DMARC](https://www.keurigonline.nl/blog/domein-beschermen-tegen-phishing) In 2025 stuurde SIDN voor **3.724 .nl-domeinnamen** waarschuwingen uit wegens vermoeden van phishing of malware, met een gemiddelde afhandelingstijd van 21 uur.[\[6\]](https://www.sidn.nl/nieuws-en-blogs/transparantierapport-2025-zo-houden-we-nl-veilig-en-betrouwbaar) Een aanvaller kan in die 21 uur al honderden berichten hebben verstuurd. Preventie werkt goedkoper dan reactie. Bekijk ook hoe [spookfacturen via domeinnamen in de praktijk worden ingezet](https://www.keurigonline.nl/blog/pas-op-voor-spookfacturen-van-nl-domein-host) om je bewuster te worden van het concrete risico. ## Transportbeveiliging: DANE en MTA-STS SPF, DKIM en DMARC authenticeren de afzender. DANE en MTA-STS beveiligen de verbinding: ze dwingen af dat e-mail altijd via TLS-versleuteling wordt verstuurd, zodat het bericht onderweg niet afgeluisterd of aangepast kan worden. Ze zijn dus een aanvulling op, geen vervanging van, de drie authenticatielagen. E-mail 22 jun 2026 [Eigen mailserver versus hosting: voor- en nadelen 2026](https://www.keurigonline.nl/blog/eigen-mailserver-versus-hosting) Meer over [hoe IP-blacklisting werkt en hoe het herstelproces verloopt](https://www.keurigonline.nl/blog/blacklisting) lees je in ons artikel over e-mailreputatie. ### Technische minimumeisen: alles of niets Een eigen mailserver in 2026 is niet klaar met een standaardinstallatie. De verplichte elementen zijn SPF (onder de 10-lookup limiet), DKIM 2048-bit (met jaarlijkse sleutelrotatie), DMARC (einddoel `p=reject`), MTA-STS, TLS, DNSSEC en een correct PTR-record. Ontbreekt een van deze elementen, dan wacht een permanente 550-fout bij Gmail of Microsoft. Dat is geen waarschuwing, maar een harde weigering voordat de mail de inbox bereikt.[\[3\]](https://jorijn.com/nl/blog/eigen-mailserver-2026/) Tel daar de beheerslast bij op: 2 tot 5 uur per maand voor updates, monitoring, loganalyse en incidentrespons. Dit is structureel werk, geen eenmalige installatie. DNS 10 dec 2025 [Email DNS Records: SPF, DKIM, DMARC en BIMI uitgelegd](https://www.keurigonline.nl/blog/email-dns-records) **Samenvatting: Email authenticatie in het kort** Email authenticatie via DNS voorkomt spoofing en verbetert deliverability. **SPF records** specificeren welke servers namens je domein mogen mailen. **DKIM records** voegen een digitale handtekening toe. **DMARC records** combineren SPF en DKIM met beleid voor gefaalde authenticatie. **BIMI** toont je logo in de inbox. Voor extra beveiliging zijn er **MTA-STS** (TLS afdwingen) en **DANE** (certificaatvalidatie via DNSSEC). **Controleer direct je email DNS records:** - [SPF Checker](https://www.keurigonline.nl/tools/spf-check) — Valideer je SPF record