SPF, DKIM und DMARC sagen, wer senden darf. Ob die Mail verschlüsselt unterwegs ist, sagen sie nicht. Zwischen zwei Mailservern ist TLS von Haus aus opportunistisch: Scheitert STARTTLS oder stimmt ein Zertifikat nicht, geht die Mail im Klartext, und niemand merkt es. MTA-STS und DANE machen daraus eine Pflicht. Diese Prüfung liest die MX-Einträge, öffnet von diesem Server aus eine SMTP-Verbindung zu bis zu drei davon, handelt STARTTLS aus und liest das Zertifikat, holt die MTA-STS-Richtlinie und den TLS-RPT-Eintrag und fragt TLSA-Einträge für DANE ab. Es wird keine Mail gesendet; nach dem Handshake endet die Verbindung mit QUIT.
Von diesem Server aus: DNS-Abfragen, ein Abruf der MTA-STS-Richtlinie und ein oder zwei SMTP-Verbindungen auf Port 25 zu jedem von bis zu drei MX-Hosts, beendet mit QUIT vor jedem Umschlag. MX-Hosts in privaten, Loopback- und Link-local-Netzen werden nie kontaktiert. Die Abfrage ist durch reCAPTCHA v3 geschützt; die aufrufende IP-Adresse und die Domain werden eine Stunde lang gespeichert, um die Rate zu begrenzen.
Grenzen, die dazugehören: Geprüft werden nur die ersten drei MX-Hosts mit je einer Adresse; manche Anbieter greylisten oder weisen unbekannte Absender schon vor EHLO ab, was hier als unerreichbar erscheint, während echte Mail weiter fließt; ob TLS 1.0 oder 1.1 angenommen würde, wird nicht sondiert; das DNSSEC-Signal ist das AD-Flag eines öffentlichen Resolvers, keine eigene Validierung; und MTA-STS wird aus der Sicht dieses Servers auf DNS und Richtlinie beurteilt, während ein sendender Server eine ältere Richtlinie im Cache haben kann.