[Postfix] Problème de rejet - rejected for policy reasons(spam)

[arnolem]

Bonjour,

Je cherche depuis pas mal de temps à améliorer la configuration de postfix afin de limiter aux maximum les rejets de mail.

Aujourd'hui, j'ai encore des rejets du type :

From MAILER-DAEMON Fri Mar 25 14:21:58 2011
Return-Path: <>
X-Original-To: adminftp@www.wixiweb.fr
Delivered-To: adminftp@www.wixiweb.fr
Received: by www.wixiweb.fr (Postfix) id 330A126525; Fri, 25 Mar 2011 14:21:58 +0100 (CET)
Date: Fri, 25 Mar 2011 14:21:58 +0100 (CET)
From: MAILER-DAEMON@www.wixiweb.fr (Mail Delivery System)
Subject: Undelivered Mail Returned to Sender
To: adminftp@www.wixiweb.fr
Auto-Submitted: auto-replied
MIME-Version: 1.0
Content-Type: multipart/report; report-type=delivery-status; boundary="C01C526521.1301059318/www.wixiweb.fr"
Message-Id: <20110325132158.330A126525@www.wixiweb.fr>

This is a MIME-encapsulated message.

--C01C526521.1301059318/www.wixiweb.fr
Content-Description: Notification
Content-Type: text/plain; charset=us-ascii

This is the mail system at host www.wixiweb.fr.

I'm sorry to have to inform you that your message could not be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to postmaster.

If you do so, please include this problem report. You can delete your own text from the attached returned message.

The mail system

<MON-CONTACT@DOMAINE.COM>: host us2.spamsentinel.org[199.103.5.147] said: 554 Mail from adminftp@www.wixiweb.fr rejected for policy reasons. (in reply to MAIL FROM command)

--C01C526521.1301059318/www.wixiweb.fr
Content-Description: Delivery report
Content-Type: message/delivery-status

Reporting-MTA: dns; www.wixiweb.fr
X-Postfix-Queue-ID: C01C526521
X-Postfix-Sender: rfc822; adminftp@www.wixiweb.fr
Arrival-Date: Fri, 25 Mar 2011 14:21:56 +0100 (CET)

Final-Recipient: rfc822; MON-CONTACT@DOMAINE.COM
Action: failed
Status: 5.0.0
Remote-MTA: dns; us2.spamsentinel.org
Diagnostic-Code: smtp; 554 Mail from adminftp@www.wixiweb.fr rejected for policy reasons.

--C01C526521.1301059318/www.wixiweb.fr
Content-Description: Undelivered Message
Content-Type: message/rfc822

Received: by www.wixiweb.fr (Postfix, from userid 1002) id C01C526521; Fri, 25 Mar 2011 14:21:56 +0100 (CET)
To: MON CONTACT <MON-CONTACT@DOMAINE.COM>
Subject: TEST
From: Un Autre Domaine <no-reply@un-autre-site.com>
Date: Fri, 25 Mar 2011 14:21:56 +0100
Content-Type: multipart/alternative; boundary="=_6bda7f3ffbe014587f9d8ac2d8c26932"
MIME-Version: 1.0
Message-Id: <20110325132156.C01C526521@www.wixiweb.fr>

--=_6bda7f3ffbe014587f9d8ac2d8c26932
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

CONTENU DU MAIL

--=_6bda7f3ffbe014587f9d8ac2d8c26932--

--C01C526521.1301059318/www.wixiweb.fr--

Savez-vous pourquoi j'ai :

Code :

554 Mail from adminftp@www.wixiweb.fr rejected for policy reasons

C'est en rapport avec le mail de l'expeditaire et le domaine postfix ?

[Senaku-seishin]

J'ai consulté le site du destinataire (spamsentinel.org). Je n'ai pas put trouvé la politique de blocage des spam.

En lisant le message d'erreur, l'erreur vient du MAIL FROM. Ton adresse d'expéditeur ne lui convient pas.

Je suppose que ton serveur expéditeur est www.wixiweb.fr. Plusieurs raison possible :

• Le champs MX redirige vers les serveur de gmail. Peut être, il filtre si le serveur expéditeur ne correspond pas au champs MX. Utilise tu ASPMX.L.GOOGLE.COM. comme relay?
• J'ai aussi remarqué que du n'as pas de champs SPF d'utilisé.
• ASPMX.L.GOOGLE.COM. est bloqué car spamsentinel refuse les relays.

[arnolem]

Salut,

Je te remercie pour ta réponse.

Mon postfix est configuré ainsi :

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_use_tls=yes
smtpd_tls_session_cache_database = btree:${queue_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${queue_directory}/smtp_scache
mydomain = www.wixiweb.fr
myorigin = $mydomain
myhostname = www.wixiweb.fr
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $mydomain, $myhostname, localhost, localhost.localdomain
relayhost = 
mynetworks = 127.0.0.0/8 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all

Depuis ce serveur, je veux envoyer des mails de différente adresse car ce serveur est mutualisé. Je veux donc pouvoir émettre des mails de "serviceclient@client1.fr" ou de "no-reply@client2.net".

L'utilisateur qui lance les scripts php pour envoyer les mails est adminftp. C'est pour cela que j'ai les retours vers adminftp@wixiweb.fr

Pour les champs MX, tu veux que je te montre la configuration de quel domaine ? De wixiweb.fr ou de client1.fr ?

Merci

[Senaku-seishin]

Effectivement c'est bien se que je pensais les champs MX et le serveur expéditeur ne correspond pas.

Deux possibilité:

• Tu change les champs MX pour le pointé sur le serveur expéditeur. (La plus simple et efficace).
• Tu utilise le relay google avec relayhost.

Pour les champs MX, tu veux que je te montre la configuration de quel domaine ? De wixiweb.fr ou de client1.fr ?

Je suppose que les champs MX de client1.fr et www.wixiweb.fr sont les même?

Code :

1
2
3
4
5
6
7
wixiweb.fr.		86400	IN	MX	1 aspmx.l.google.com.
wixiweb.fr.		86400	IN	MX	5 alt1.aspmx.l.google.com.
wixiweb.fr.		86400	IN	MX	5 alt2.aspmx.l.google.com.
wixiweb.fr.		86400	IN	MX	10 aspmx2.googlemail.com.
wixiweb.fr.		86400	IN	MX	10 aspmx3.googlemail.com.
wixiweb.fr.		86400	IN	MX	10 aspmx4.googlemail.com.
wixiweb.fr.		86400	IN	MX	10 aspmx5.googlemail.com.

Si ça peut t'aider voici, mon fichier de configuration :

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
# See /usr/share/postfix/main.cf.dist for a commented, more complete version
 
 
# Debian specific:  Specifying a file name will cause the first
# line of that file to be used as the name.  The Debian default
# is /etc/mailname.
myorigin = /etc/mailname
 
smtpd_banner = $myhostname ESMTP $mail_name
biff = no
 
# appending .domain is the MUA's job.
append_dot_mydomain = no
 
# Uncomment the next line to generate "delayed mail" warnings
delay_warning_time = 4h
 
readme_directory = no
 
# TLS parameters
smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_use_tls=yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
 
# See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for
# information on enabling SSL in the smtp client.
 
mydomain = mon_domain
myhostname = addr_server
 
# Alias
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
 
# Network
inet_interfaces = all
inet_protocols = ipv4 ipv6
 
################
# Serveur SMTP #
################
 
# Les noms de domaine pour lesquels on accepte le courrier.
mydestination = $mydomain, $myhostname, localhost.localdomain, localhost
 
# Si votre FAI ne vous permet pas de poster le courrier directement,
# utiliser son serveur SMTP comme relais en décommentant cette ligne.
# relayhost =
 
# Les clients SMTP sûrs, qui auront plus de privilèges
# (concrètement, le droit d'utiliser ce serveur comme relais)
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
 
########
# DKIM #
########
 
# DKIM est optionnel
#milter_default_action = accepte
#milter_protocol = 2
#smtpd_milters = inet:localhost:8891
#non_smtpd_milters = inet:localhost:8891
 
#######################
# Distribution locale #
#######################
 
# Commande pour distribuer le courrier.
#mailbox_command = procmail -a "$EXTENSION" DEFAULT=$HOME/Maildir/ MAILDIR=$HOME/Maildir
#mailbox_command = /usr/bin/maildrop -d ${USER}
 
# Taille limite des BaL
mailbox_size_limit = 51200000
 
# Caractère séparant le nom de destinataire d'un paramètre additionnel
# (adresses « plussées », du type <untel+nawak@example.com> &#8594; <untel@example.com>)
recipient_delimiter = +
 
#home_mailbox = Maildir/ # MDA de postfix, dossier de livraison
#maildirmake.courier = ~/Maildir
 
###############
# Restriction #
###############
 
#spf-policyd_time_limit = 3600s # SPF (optionnel)
 
# Règles pour accepter ou refuser une connexion :
# - on attend une seconde (pour piéger les zombies)&#8239;;
# - on interdit la parallélisation là où il n'est pas sensé y en avoir.
smtpd_client_restrictions =
    permit_mynetworks, permit_sasl_authenticated,
    sleep 1, reject_unauth_pipelining
 
# Règles pour accepter ou refuser un message, dès lors qu'on connaît le nom
# de l'hôte de l'expéditeur (par sa commande HELO ou EHLO) :
# - on refuse les noms d'hôte invalides.
smtpd_helo_restrictions = reject_invalid_helo_hostname
 
# Règles pour accepter ou refuser un message, dès lors qu'on connaît l'adresse
# de l'expéditeur :
# - s'il vient d'un expéditeur inexistant de notre domaine, on le rejette&#8239;;
# - si le domaine de l'expéditeur n'a pas d'IP ou de MX, on le refuse ;
# - s'il vient d'un client sûr ou d'un client authentifié, on l'accepte&#8239;;
# - si l'adresse de l'expéditeur n'est pas sous forme canonique, on le refuse.
smtpd_sender_restrictions =
    reject_unlisted_sender, reject_unknown_sender_domain,
    permit_mynetworks, permit_sasl_authenticated,
    reject_sender_login_mismatch, reject_authenticated_sender_login_mismatch,    reject_non_fqdn_sender
 
# Règles pour accepter ou refuser un message, dès lors qu'on connaît le
# destinataire (par la commande RCPT TO) :
# - s'il est destiné à un expéditeur forgé chez nous, on le rejette&#8239;;
# - s'il est destiné à un domaine forgé, on le rejette&#8239;;
# - s'il vient d'un hôte sûr ou d'un client authentifié, on l'accepte&#8239;;
# - si l'adresse de destination n'est pas sous forme canonique, on le refuse&#8239;;
# - finalement, s'il n'est pas destiné à un domaine que l'on gère ou pour
#   lequel on relaie, on le refuse.
smtpd_recipient_restrictions =
    reject_unlisted_recipient, reject_unknown_recipient_domain,
    permit_mynetworks, permit_sasl_authenticated,
    reject_non_fqdn_recipient,
   # check_policy_service unix:private/policy-spf, # SPF (optionnel)
    reject_rbl_client zen.spamhaus.org, reject_rbl_client bl.spamcop.net, #RBL (Lite noir de spam)
    reject_unauth_destination
 
####################
# Authentification #
####################
 
#/!\ A modifier selon le sasl utilisé!
# Important si envoyer par un MUA (exemple : thunderbird, outlook, etc ...)
 
# Activer l'identification SASL
smtpd_sasl_auth_enable = yes
# Utiliser le service d'identification de Dovecot
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
# Noter dans les en-tête des messages l'identifiant de l'utilisateur.
smtpd_sasl_authenticated_header = yes

[arnolem]

Salut, ce que je ne comprends pas c'est que pour moi, les champs MX était pour recevoir et non pour envoyer.
Si mes champs MX sont sur Google c'est parce que j'utilise Google Apps sur mon domaine. Je ne veux donc pas les faire pointer sur mon serveur puisqu'il ne me sert pas à recevoir mais simplement à envoyer des mails.

C'est dans ce cas ou je dois définir le relay ?

[Senaku-seishin]

Salut, ce que je ne comprends pas c'est que pour moi, les champs MX était pour recevoir et non pour envoyer.

Effectivement, le champ MX sert pour la réception. Mais pour lutter contre le spam, certain serveur vérifie la correspondance MX et serveur émetteur. C'est pour évité l'usurpation de domaine.

Pour configurer un relay:

Code :

relayhost = [serveur smtp]

Si cette solution ne fonctionne pas, le serveur filtre peut être quand il y a pas de champ SPF. Ajoute un champ TXT à au serveur dns :

Code :

"v=spf1 a mx -all"

[arnolem]

Salut et merci.
J'ai ajouté un SPF aux 2 domaines :

• Celui qui émet le mail (wixiweb.fr)
• Celui de l'adresse émettrice (client1.net)

Pour le relayhost, cela ne marche que si les domaines pour lesquels j’envoie sont chez Google ? Si j'utilise un autre domaine chez Orange par exemple, ça ne risque pas d'être pire ?

[Senaku-seishin]

Quand tu configure relayhost, tout les messages seront transité par l'intermédiaire google, en espèrent que il accepte d'être un relay.

Tu peux aussi faire des règles plus précise:

main.cf

Code :

1
2
relay_domains = $mydestination, client1.fr
transport_maps = hash:/etc/postfix/transport

/etc/postfix/transport:

Code :

client1 serveur_de_relay

Exécute:

Code :

postmap /etc/postfix/transport

[arnolem]

Il semblerait que Google demande une authentification. je vais donc essayer de faire sans pour le moment.

Voici un exemple de mail reçu en spam alors la SPF est configurée :

Delivered-To: une-adresse-gmail@gmail.com
Received: by 10.216.30.80 with SMTP id j58cs152012wea; Tue, 29 Mar 2011 14:05:03 -0700 (PDT)
Received: by 10.216.246.12 with SMTP id p12mr285130wer.91.1301432702764; Tue, 29 Mar 2011 14:05:02 -0700 (PDT)
Return-Path: <root@www.wixiweb.fr>
Received: from www.wixiweb.fr (xvm-160-127.ghst.net [95.142.160.127]) by mx.google.com with ESMTP id h47si9495455wer.180.2011.03.29.14.05.01; Tue, 29 Mar 2011 14:05:01 -0700 (PDT)
Received-SPF: pass (google.com: domain of root@www.wixiweb.fr designates 95.142.160.127 as permitted sender) client-ip=95.142.160.127;
Authentication-Results: mx.google.com; spf=pass (google.com: domain of root@www.wixiweb.fr designates 95.142.160.127 as permitted sender) smtp.mail=root@www.wixiweb.fr
Received: by www.wixiweb.fr (Postfix, from userid 0) id 8557E2651A; Tue, 29 Mar 2011 23:05:01 +0200 (CEST)
To: une-adresse-gmail@gmail.com
Subject: Objet du Message
From: Service Client <serviceclient@client1.fr>
Date: Tue, 29 Mar 2011 23:05:01 +0200
Content-Type: text/html; charset=UTF-8
Content-Transfer-Encoding: quoted-printable
Content-Disposition: inline
MIME-Version: 1.0
Message-Id: <20110329210501.8557E2651A@www.wixiweb.fr>

CONTENU DE l'EMAIL

Je ne comprends pas pourquoi celui-ci passe en SPAM.

[Senaku-seishin]

Si il demande une authentification, donc tu ne peux surement pas l'utilisé comme relay :/

Ton champs SPF est correct.

J'avais eut aussi ce soucis avec les adresses gmail. J'ai remplis ce formulaire et après c'était bon : http://mail.google.com/support/bin/r...pe=msgdelivery

[arnolem]

Et ça ne peux pas être du au fait que mon message soit envoyé par Root ?

[Senaku-seishin]

Et ça ne peux pas être du au fait que mon message soit envoyé par Root ?

Après avoir effectué un test, j'ai déduis que envoyé en root n’influence en rien.

Pourquoi tes messages sont considéré en spam uniquement si envoyer sous root ?

[arnolem]

Je vais refaire des tests et te dire ça.

En tout cas, depuis la mise en place du SPF, je n'ai plus eu de rejet.
Par contre, certains mail arrivent encore en SPAM dans GMAIL.

Merci pour ton aide

[Senaku-seishin]

Gmai utilise la réputation de l'IP entre autre pour définir un spam. Il faut envoyé quelques mails à une adresse Gmail et cliquer sur "message non indésirable".

Le formulaire que j'avais fournie accélère la démarche.