IP E-Mail Reputation und Mailtrust - so könnt ihr das Erhöhen

"Das wusste ich leider bisher auch noch nicht, dass es geht."

Warum wusstest Du das bisher nicht? Ich hatte doch genau dazu eine Frage hier im Forum, auf die auch Du geantwortet hast

Thema

DKIM / SPF - Problem?

Alex, wieder eher was für Dich.... Wie oder warum kommt es eigentlich zustande, dass Mails teilweise als Absender "fremde IPs" haben und dann entsprechend abgelehnt werden? Ich meine mit "fremde IPs" nun nicht irgendwen, sondern Anbieter wie Google oder 1und1.

Also so was da:

<row>

<source_ip>209.85.220.41</source_ip>
<count>1</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>pass</dkim>
<spf>fail</spf>

</policy_evaluated>

</row>

<identifiers>

<header_from>ferien-netzwerk.de</header_from>

…

Synonym

9. März 2022 um 12:35

Und das Ganze geht auch mit PHP mail(). Warum auch nicht, das ist ja nur ein Wrapper. Man muss dem zugrundeliegenden Sendmail nur beibringen, dass das auch SMTP machen soll und nicht nur MTA, also per SMTP-Relay. Gehört hier bei Debian zumindest zur Grundausstattung, damit nämlich auch die Meldungen von Crons etc. nicht einfach so als "Systembenutzer" oder "root@hostename" gesendet werden, sondern offiziell über ein SMTP mit Authentifizierung.

Jep, müssen im Sendmail, in der Map, hinterlegt werden zusammen mit den Senderadressen. Ist aber kein Sicherheitsproblem, wenn Du das denken wollen würdest, denn hinterlegen muss man sie so oder so. Dann halt nur woanders.

Für Dein Vorhaben oben spielt es keine Rolle, wo die Mails eigentlich herkommen. Ob nun per Relay über Sendmail, über PHP und PHPMailer mit Socket-Verbindung oder sonst was. Irgendwie müssen die per SMPT in den Mailserver, denn der macht das alles ja erst.

Macht also keinen Unterschied, ob z.B.

PHP -> PHPMailer -> Socket-Open -> SMTP -> Postfix

oder

PHP -> mail() -> SMTP-Relay -> SMTP -> Postfix

Ich würde dazu auch nicht die PHP-Funktion mail() nutzen, ist zu unflexibel, aber eben die PHP-Klasse PHPMailer. Ist aber beides PHP und beides Mail. Hört sich oben halt etwas seltsam an, wenn Du schreibst, man braucht SMTP, aber "PHP Mail" geht nicht, denn beides, sowohl Funktion als auch Klasse sind "PHP Mail".

Interessant finde ich das Thema aber, hatte mich damit vor gut einem Jahr ja selbst erstmals beschäftigt und es umgesetzt. Die Versuche die Jahre zuvor sind alle gescheitert. Mit DNS-Einträgen ist es ja nicht einfach so getan, der Mailserver muss es natürlich auch können, also a) die entsprechenden Werte anhängen, beim Senden und b) prüfen, beim Empfangen. Hier hackt es leider oft oder zumindest vor einem Jahr und früher.

Ich weiß hier noch sehr gut, dass meine geliebte Kombination aus "Amavis, Postfix, Dovecot, Spamassassin und ClamAV" das nicht konnte. Angeblich konnten es alle von denen, aber irgendwie scheinen die nicht untereinander kompatibel gewesen zu sein. Kam hier schon drauf an, wie die ineinander gegriffen haben, ob als Dämon oder Milter etc. Je nach Konstellation hatte man dann keine Eingangsprüfung und entweder im Ausgang keine Signatur oder eine doppelte oder eine Falsche. Falsch dann, wenn ein Milter die schon vorher setzte, aber der Spamassassin dann z.B. nach Debug-Daten oder eben einfach ein "Spam: no" reinschrieb. Somit war die Signatur nicht mehr gültig, da in deren Berechnung der Wert vom Spamassassin fehlte. Und wenn man dann wechselte auf eine andere Verbindung, dann ging zwar das Zeug, aber andere Dinge nicht mehr, wie z.B. eine lokale Zustellung ohne Beteiligung von anderen Diensten. Daher wurde aus der alten Kombination nun auch "Postfix, Dovecot, ClamAV und rSpamD". Das Problem war nämlich, auch in der aktuellen Debian-Version, dass Amavis und Spamassassin da in die Quere kamen und Signaturen bereits getätigt wurden, bevor die ihre Arbeit gemacht hatten.

Und wegen Deines Protokolls oben, das Du "nicht kanntest". Da gibt es zwei. Das tägliche (rua), mit allen Daten, das eigentlich nur als Debug genutzt werden sollte und eines für einen "Fehlerfall", das "ruf". Sinnvoll wäre letzteres, also nur eine Nachricht, wenn eine Prüfung nicht funktioniert hat. Doof dabei ist nur, dass das 99% aller großen Mail-Anbieter nicht unterstützen, also nicht senden. Die senden nur, wenn gewollt, das Tägliche. Mit der Konsequenz, zumindest bei mir, dass ich die schon gar nicht mehr lese. Gut, kommt drauf an, was man da so versendet, ich bekomme hier aber jeden Tag so an die 3 bis 20 verschiedene Protokolle. Ist mir mittlerweile wirklich zu doof die immer zu entpacken und dann zu suchen, ob da was drinnen ist, das ein Fehler war.

Und DMARC, also DMARC, nicht DMARK (Hat nichts mit der Deutschen Mark zu tun), braucht nur einen DNS-Eintrag. Denn das ist das Reporting-System und teilt per DNS mit, wie reportet werden soll. Um DMARC zu nutzen müssen SPF und DKIM vorhanden sein. Die beiden sind aber für sich eigenständig. DMARC gibt nur an, was in einem Fehlerfall oder eben nicht (Debug mit "rua") passieren soll. Also immer einen Bericht schicken, nur wenn beiden, SPF und DKIM fehlschlagen, oder wenn einer von beiden fehlerhaft ist.

BIMI kannte ich auch noch nicht. Wenn es bei Dir funktioniert, kannste dann mal sagen bei welchen Mailanbietern? Google und Co. geben nämlich vor, dass man, selbst wenn der DNS-Eintrag stimmt, man für das Logo eine eingetragene Marke haben muss und diese bzw. das Zertifikat (Verified Mark Certificate, VMC) muss auch im DNS stehen.

DMARC -> Du hast den Wink nicht verstanden. Du redest oben nämlich überall von DMARK.

eine Abuse und eine Postmaster ist gemäß Richtlinien sowieso Pflicht, nicht nur bei T-Online. Das gehört bei allen Domains mit dazu.

Ich verstehe Deinen letzten Satz nicht.

Das muss mit der FQDN übereinstimmen, in meinem Fall wäre es abuse@host.***.de oder abuse@****.de

postmaster geht auch, andere EMail Addis sind NICHT zulässig. Also alex@fgdn** nicht und auch nicht abuse@seo-nw.de

Muss nun und geht nun oder geht nicht? Bezogen auf "abuse".

Und nein, unter dem Host-Namen des Mailsystems muss keine Webseite vorhanden sein. Das wäre auch völlig unüblich. Es muss nur recherchierbar und nachvollziebar sein.

T-Online selbst hat z.B. so was da:

spica27.aul.t-online.de

Versuch die mal aufzurufen!!! Nachvollziehbar ist aber, dass die zu "t-online.de" gehört.

Dein Problem ist nur, dass diese "host.seo-nwXX" nachvollziebar zu "seo-nwXX" gehört. Doch wer oder was ist "seo-nwXX"??? Ich könnte mir da auch eine registrieren, mit einer anderen Nummer. Und schon hat man das Problem, dass es eben nicht nachvollziehbar ist.

Google mal wieder: Logo als Marke eintragen, 400 Euro für nix ausgeben, damit Google auf der rechtlich sicheren Seite ist. Schon die Formulierung "Marke" ist falsch, weil mit Marke gemeinhin Wortmarke verstanden wird.

Was Google nicht weiss oder nicht wissen will, dass es nicht unbedingt einer Eintragung als "Marke" bedarf, um Markenschutz zu haben.

Das hat nicht nur Google, sondern so gut wie jeder große Anbieter, der das unterstützt. Es geht hier auch nicht direkt um eine Marke, auch wenn es so genannt ist, sondern um die Verifizierung, dass das verwendete Bild einem auch gehört. Und das Zertifikat bekommt man eben nur beim Markeneintrag.

Das soll ja geändert werden, dass es auch ohne Marke geht, aber eben dennoch mit Zertifikat.

Sonst wäre es ja ein Kinderspiel, das Bild von Alex zu nehmen und bei mir ins DNS einzutragen und vorher natürlich die Domain seo-nw.ru zu registrieren. Schwupp, sein Logo würde dann bei mir erscheinen. Daher das Zertifikat, das die Anbieter oder eben auch die Softwares wollen. Ohne ist das ganze Gebilde nutzlos. Das Bild soll ein Schutz sein, um Original, echte Sender zu erkennen. Also muss das Bild auch entsprechend geprüft sein, wie auch immer.

Und Goolge-Mail ist in dem Fall eine ganz normale Software wie Outlook oder jede andere auch. Die Software muss wissen können, ob ein Bild echt ist oder nicht.

Achso. Und es geht nicht in dem Sinne um eine Marke wie eine Bildmarke. Das ist quasi eben ein Zertifikat wie für SSL, das eben bestätigt, dass das Bild einer Firma / Person gehört. Genauso wie SSL, dass eine Domain einer Person oder Firma gehört.

Und das kostet aktuell auch keine 400 Eur, sondern zwischen 1100 und 1500 USD Jahresgebühr Kann aber gut sein, dass da in ein paar Jahren auch Anbieter wie Letsencrypt das kostenfrei anbieten, denn im Grunde ist das nichts anderes wie SSL. Ein Bild, das sich nicht mehr ändern kann, gebunden an eine Domain oder mehrere, gebunden an einen identifizierten Inhaber.

Mit 400 meinte ich die Kosten einer Eintragung als Bildmarke, Wortbildmarke, wenn es jemand selbst macht.

Das ist ja noch alles weitgehend unbekannt. Wird das mal mehr Usus werden die Betrüger Wege finden und diese Wege sind jetzt schon absehbar. So einfach wie mit dem SSL für Domains ist es in diesem Fall nämlich nicht. Es wird zur Folge haben, dass die Betrüger noch erfolgreicher sein werden. Das Ganze bietet ja nur eine scheinbare Sicherheit.

Ich habe mich gestern Abend mal ausgiebig mit dem BIMI beschäftigt. Ich hatte schon meinen ersten Eindruck, als ich das den ersten Moment gelesen hatte und danach erst recht. Es scheint eine Art Geldmaschine zu sein. Das Ding ist ein "Konsortium" aus US-Firmen. 3-4 davon kennt wohl jeder hier, die anderen 20 hat wohl noch keiner gehört. Zu den größten Mail-Anbietern, die das nun unterstützen gehören Google-Mail, AOL und Apple. Dann noch ein paar andere große, aber eben große in den USA, die kennt hier keiner. MS nimmt daran z.B. nicht teil und hat es auch nicht geplant. Die, die es geplant haben, sind auch unbekannt, mir zumindest. Alle davon, egal ob schon genutzt oder geplant, verlangen ein Zertifikat. Ohne wird kein Bild angezeigt.

Es scheint so etwas auch schon in Europa zu geben, da spielt unter anderem die Telekom und andere europäische TK-Anbieter mit.

Die Minimalanforderungen für BIMI, dazu gibt es ein PDF. Das sind, wie deren Name sagt, die Minimalanforderungen für ein Zertifikat. Umfang des PDF: 98 Seiten. Da wird auch erwähnt, wie das genau mit der Zertifizierung gemacht wird. Da wird dann auch klar, warum das so teuer ist. Das hat mit einer Marke in dem Sinne, also wie wir eine Marke oder eben Markenrecht kennen, nichts zu tun. Das ist eine Verifizierung einer Firma / Person, nicht einer Webseite / Domain. Bei dieser Verifizierung geht nichts automatisiert und ist auch nicht vorgesehen. Also auch Letsencrypt nicht möglich, denn dort geht ja alles automatisiert. Da ist unter anderem die Rede von "Face-to-Face". Man muss alles mögliche an privaten Daten / Dokumenten einreichen, Personalausweis, Führerschein etc. Und andere Dokumente, auf denen das Logo, das zertifiziert werden soll, bereits in der Vergangenheit ersichtlich war / ist.

Eine Marke, also echte Marke, kann den ganzen Prozess beschleunigen, muss es aber nicht. Scheint es aber etwas einfacher zu machen. An den Kosten ändert sich nichts, die bleiben mit oder ohne eingetrager Marke gleich. 1100 bis 1500 USD Jahresgebühr. Die Zertifizierung wird jedes Jahr wiederholt. Das ist auch keine Preisspanne, sondern sind zwei feste Werte, denn es gibt nur zwei Unternehmen, die die Zertifikate vergeben können / dürfen.

Das Zertifikat gilt für die Kombination "Bild - Firma", kann also beliebig viele Domänen haben oder verwendet werden. Möchte man aber ein anderes Bild, eine Änderung oder verschiedene Bilder für verschiedene Domänen, dann braucht es neue Zertifikate. Für jede Änderung oder eben jedes weitere Bild ein Zertifikat.

Geldmaschine, weil sich deren "Bewerbung" dafür so anhört. An sich erst mal gut, was die schreiben und nachvollziebar, aber halt nicht mit den verbundenen Kosten. Sicherer und besser ist es. Wenn Du, Cura, das mal auf dem Handy gesehen hast, also zig Mails, die dort, für leichtere Erkennbarkeit mit automatischen "Bildern" versehen werden, Bildern im Sinne des Forums hier mit Buchstaben, also eine Mail von "Heike Schmitt", mit "HS", dann merkt man das schon. Ist da dann eine Mail mit einem Apple-Logo, dann fällt die mehr auf und das Logo ist bekannt, vertrauenerweckend. Dazu schreiben sie, 25-30% höhere Leserate und Reaktion auf derartige Mails. Das kann gut stimmen. Aber eben auch etwas wie "Wenn das einige machen, dann kommen die anderen automatisch auch mit dazu, denn die mit haben einen Wettbewerbsvorteil, den die anderen auch wollen werden."

P.S. Alex, Du stelltest gestern ja was um.... Wohl wegen dem Zitat von T-Online.... Eine Seite, die nun einen Fehler bringt, ist wohl nicht besser als gar keine....

Da ist schlicht das falsche SSL hinterlegt. Kannste ändern, aber ich sag gleich mal vorab. Das musste in dem Fall an vielen Stellen ändern, also auch Postfix etc. Möglich ist es, mein Mail-System läuft ja auch über ein Letsencrypt-Zertifikat. So trivial war das aber nicht. Ging zwar recht schnell, aber der Renew machte Probleme bzw. die Clients, die noch immer das alte hatten und das neue "nicht wollten".

Ok, das könnte sein. Deine Versuche habe ich ja gesehen. Per IP kommt diese Seite, anfangs auch per Domain. Dann kam die Weiterleitung, dann kam der Fehler. Cache ist möglich. Bin aber gleich weg, es wird hier dunkel.

Dann muss es aber der Cache der FritzBox sein, denn im Chrome war ich noch nicht, da ist aber genau das Gleiche.

Da kommt ein selbst signiertes Zertifikat von Plesk. Kann es sein, dass Du das bei Dir manuell freigegeben hast?

Hm, also der FF leitet mich direkt an SSL weiter, wenn ich da einfach nur seo-nwXX.de eintippe, also ohne http://