SMTP DANE og DNSSEC i Microsoft 365
DNSSEC sikrer dine DNS-opslag mod manipulation, og DANE gør TLS-certifikatet på den modtagende mailserver verificerbart via DNS. Sådan slås begge til for indgående mail i Microsoft 365 — inklusive test-links.
Kort fortalt: DNSSEC sikrer dine DNS-opslag mod manipulation, og DANE sørger for, at TLS-certifikatet på den modtagende mailserver kan valideres via DNS (TLSA-records). Sammen beskytter de dit indgående mailflow mod DNS-spoofing, TLS-downgrade og MTA-man-in-the-middle. Microsoft har i dag fuld støtte til outbound DANE og ruller inbound DANE/DNSSEC ud i Exchange Online, samtidig med at infrastrukturen bevæger sig fra mail.protection.outlook.com til nye, DNSSEC-sikrede subdomæner under mx.microsoft. Det påvirker MX/A-provisioneringen for nye/ migrerede domæner.
Hvad betyder det i praksis?
- DNSSEC: Kryptografisk signering af DNS-records forhindrer spoofing og manipulation af dine domæneopslag.
- SMTP DANE: Afsendende MTA henter TLSA-records for din MX og validerer, at TLS-certifikatet matcher, så forbindelsen ikke kan kapres eller nedgraderes.
Forudsætninger
- Domænet er tilføjet som Accepted Domain og er “Healthy” i Microsoft 365.
- Du kan forbinde til Exchange Online PowerShell.
- Under MX-skiftet må der ikke være fallback/sekundære MX-records.
- DNSSEC skal være slået til hos DNS-registratoren, ellers kan DANE ikke fungere.
Trin-for-trin: Fra tjek til fuld validering
1) Bekræft at domænet er DNSSEC-signeret
Gå til Verisigns DNSSEC Debugger, indtast domænet, og bekræft, at alle felter er grønne:
https://dnssec-debugger.verisignlabs.com/
Hvis DNSSEC ikke er aktivt, skal det aktiveres hos jeres registrator, før du kan fortsætte (ellers kan TLSA/DANE ikke blive “trusted”).
2) Sænk TTL på din eksisterende MX-record
I DNS-panelet:
• Sæt TTL: 1 minut
• Sæt Priority: 0 eller 10
Vent evt. den gamle TTL ud for at sikre hurtig propagation under migrationen. Denne best practice er anbefalet i flere implementeringsguides.
3) Forbind til Exchange Online PowerShell
Åbn PowerShell som administrator og kør:
Connect-ExchangeOnline
(Forbindelsen giver adgang til de nødvendige cmdlets til DNSSEC og DANE.)
4) Aktiver DNSSEC for domænet i Microsoft 365
Kør følgende kommando og notér værdien DnssecMxValue i output – den skal bruges i næste trin:
Enable-DnssecForVerifiedDomain -DomainName "ditdomæne.dk"
Denne proces klargør Microsoft-siden af DNSSEC for dit domæne og udstiller den værdi, som din nye MX skal pege på.
5) Opret den nye DNSSEC-sikrede MX-record
I DNS-zonen opretter du en ny MX-record:
• Value: (brug DnssecMxValue fra trin 4)
• TTL: 1 minut
• Priority: 20 (så den endnu ikke er primær)
Denne MX peger på Microsofts nye DNSSEC-sikrede mailinfrastruktur under mx.microsoft.
6) Verificér at den nye MX virker (parallelt med den gamle)
Kør Inbound SMTP-testen i Microsoft Connectivity Analyzer:
https://testconnectivity.microsoft.com/tests/O365InboundSmtp/input
Begge MX-hosts – din gamle (.mail.protection.outlook.com) og den nye (.mx.microsoft) – skal give grønne resultater før du går videre.
7) Fjern den gamle MX-record
Når både gammel og ny MX består testen, slet den gamle MX-record (typisk der ender på mail.protection.outlook.com). Tag evt. en zone-export som backup først.
8) Gør den nye MX til primær
Ændr prioriteten på den nye MX til:
0
Nu er den nye, DNSSEC-sikrede rute aktiv.
9) Valider DNSSEC hos Microsoft
Kør DNSSEC Validation i Connectivity Analyzer (vælg “DNSSEC Validation”):
https://testconnectivity.microsoft.com/tests/O365DaneValidation/input
Fortsæt først, når du har grøn status.
10) Aktivér Inbound SMTP DANE for domænet
Kør følgende:
Enable-SmtpDaneInbound -DomainName "ditdomæne.dk"
Vent ca. 15 minutter, mens Microsoft publicerer TLSA-records i backend (propagation).
11) Sluttest: DANE Validation (inkl. TLSA og DNSSEC)
Gå til samme værktøj, men vælg “DANE Validation including DNSSEC”:
https://testconnectivity.microsoft.com/tests/O365DaneValidation/input
Du skal have grøn status for DNSSEC, TLSA og DANE, før opsætningen anses for fuldført.
Ekstra: Samlet kvalitetstjek med Internet.nl
Kør en mail-test hos Internet.nl for at få en samlet procentscore og status for bl.a. DNSSEC, DANE, STARTTLS, DKIM, SPF, DMARC, IPv6 og RPKI:
https://internet.nl/test-mail/
Det er en officiel test fra Dutch Internet Standards Platform og en god “end-to-end” sanity check på hele jeres opsætning.
Kendte ændringer i Microsofts infrastruktur (vigtigt for roadmaps)
Microsofts indførelse af DNSSEC-sikrede zoner betyder, at fremtidige Accepted Domains provisions under subdomæner af .mx.microsoft, som over tid erstatter .mail.protection.outlook.com for hosting af A/MX-records. Planlæg derfor opdateringer til partnere, smarthosts og connectors—især hvis de peger hårdt på vanity-domæner/protection-endpoints.
Hurtig tjekliste (copy-paste-venlig)
Connect-ExchangeOnline
Enable-DnssecForVerifiedDomain -DomainName "ditdomæne.dk"
(Opret ny MX i DNS: value = DnssecMxValue, TTL 1 min, priority 20)
Test inbound MX: https://testconnectivity.microsoft.com/tests/O365InboundSmtp/input
(Slet gammel MX)
(Sæt ny MX priority til 0)
Test DNSSEC: https://testconnectivity.microsoft.com/tests/O365DaneValidation/input (DNSSEC Validation)
Enable-SmtpDaneInbound -DomainName "ditdomæne.dk"
Test DANE inkl. TLSA: https://testconnectivity.microsoft.com/tests/O365DaneValidation/input (DANE Validation including DNSSEC)
Samlet kvalitetstjek: https://internet.nl/test-mail/
Konklusion
Ved at aktivere DNSSEC + Inbound SMTP DANE i Microsoft 365, sikrer du dit indgående mailflow mod de mest almindelige angreb på DNS- og TLS-laget, samtidig med at du gør din mailinfrastruktur klar til Microsofts kommende standard med .mx.microsoft. Det er et af de mest effektive, fremtidssikrede tiltag, du kan lave på relativt kort tid—og det kan verificeres løbende med de officielle testværktøjer ovenfor.
📞 Mobil: +45 2278 2720
📧 E-mail: kc@todo-it.dk
🌐 Website: www.todo-it.dk