Kann man outbound STARTTLS irgendwie vernünftig loggen?

[SD]

Hallo allerseits!

Hat hier vielleicht jemand einen Tipp, wie man vernünftig protokollieren kann, ob eine ausgehende Mail vom Router über TLS verschickt wurde, wenn Negotiated SSL eingestellt ist?

Ich bekomme in letzter Zeit immer öfter aus der Datenschützerecke die Frage, ob irgendwelche Mails per TLS rausgegangen sind, und ich kann dann eigentlich immer nur sagen "wenn die Gegenseite das unterstützt, dann üblicherweise ja", was ein wenig unbefriedigend ist.

Die Serverkonsole erzählt mir nur, dass die Mail verschickt wurde, aber nicht, ob TLS ausgehandelt wurde, oder nicht (Falls es an Zertifikat-Errors oder sowas scheitert wird es immerhin vermerkt). Das Message Tracking erzählt mir das auch nicht. Die Empfänger müssten es den Header-Infos ihrer eingegangenen Mail ansehen können, aber das nützt mir auf meiner Seite nichts. Und ich würde ungern einfach das Log-Level hochschrauben, weil mich 99% von dem, womit meine Logs dann vollgemüllt werden, gar nicht interessiert. Also gibt es irgendeine handliche Möglichkeit herauszufinden, ob TLS nun verwendet wurde, oder nicht?

Gruß
SD

[ronka]

Mit SSL_Log_Success=1 wird jeder erfolgreiche verbindung mit TLS gemeldet:

14.11.2019 10:31:23 TLS1.2 connected [ip] (port) -> [IP] (443) - ECDHE_RSA_WITH_AES_256_GCM_SHA384 (0xC030) with NIST P-256