Ubuntu-fr

boubou81

DSN rejeté par DMARC

Bonjour,

J'ai mis en place un serveur mail Postfix qui fonctionne bien sauf que les notifications d'état de distribution (Delivery Status Notification) renvoyés par Postfix lorsqu'une boite est pleine, par exemple, se voient rejetées par les serveurs de linkedin, et je ne comprends pas pourquoi car le domaine me semble bien configuré !

Le cas concret est le suivant:
Mon serveur est smtp.ablink.fr, il gère un domaine virtuel dumez-avocat.fr dont les boites mails sont pleines. Ainsi chaque mail reçu, et en particulier toutes les notifications de Linkedin, génère un bounce et donc l'envoi d'un DSN, et c'est lui qui est rejeté à cause de DMARC

Ci dessous le rapport reçu:

This is an email abuse report for an email message received from IP 94.23.203.92 on Wed, 26 Dec 2018 20:48:41 +0000.
The message below did not meet the sending domain's dmarc policy.
The message below could have been accepted or rejected depending on policy.
For more information about this format please see http://tools.ietf.org/html/rfc6591 .


Feedback-Type: auth-failure
User-Agent: Lua/1.0
Version: 1.0
Original-Mail-From: 
Original-Rcpt-To: s-2tm8tx7wxc4ou3td400zkaergk31zxkd4imcpatnqkyqkp27hx85kjtx@bounce.linkedin.com
Arrival-Date: Wed, 26 Dec 2018 20:48:41 +0000
Message-ID: <20181226204837.2BD9312E00A0@smtp.ablink.fr>
Authentication-Results: dmarc=fail (p=reject; dis=reject) header.from=ablink.fr
Source-IP: 94.23.203.92
Delivery-Result: reject
Auth-Failure: dmarc
Reported-Domain: ablink.fr


ForwardedMessage.eml
Sujet : Undelivered Mail Returned to Sender
De : MAILER-DAEMON@ablink.fr (Mail Delivery System)
Date : 26/12/2018 à 21:48
Pour : s-2tm8tx7wxc4ou3td400zkaergk31zxkd4imcpatnqkyqkp27hx85kjtx@bounce.linkedin.com

This is the mail system at host smtp.ablink.fr.

I'm sorry to have to inform you that your message could not
be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to postmaster.

If you do so, please include this problem report. You can
delete your own text from the attached returned message.

                   The mail system

<xxx@dumez-avocat.fr>: temporary failure. Command output: ERR: authdaemon:
    s_connect() failed: Permission denied maildrop: maildir over quota.


Reporting-MTA: dns; smtp.ablink.fr
X-Postfix-Queue-ID: 0E80112E012A
X-Postfix-Sender: rfc822; s-2tm8tx7wxc4ou3td400zkaergk31zxkd4imcpatnqkyqkp27hx85kjtx@bounce.linkedin.com
Arrival-Date: Fri, 21 Dec 2018 21:29:04 +0100 (CET)

Final-Recipient: rfc822; xxx@dumez-avocat.fr
Original-Recipient: rfc822;xxx@dumez-avocat.fr
Action: failed
Status: 4.3.0
Diagnostic-Code: x-unix; ERR: authdaemon: s_connect() failed: Permission denied
    maildrop: maildir over quota.


ForwardedMessage.eml
Sujet : Clara and Vitore sent new messages
De : Messagerie LinkedIn <messaging-digest-noreply@linkedin.com>
Date : 21/12/2018 à 21:29
Pour : Xxxxxx XXXX <xxx@dumez-avocat.fr>

LinkedIn 	XXX
 

Vous avez 2 nouveaux messages
 

Vivez pleinement l’expérience de messagerie LinkedIn
Vito Paula 	
...

Le domaine concerné au départ est dumez-avocat.fr, la boite mail étant pleine, mon serveur emet un DSN, cette fois le domaine concerné est donc ablink.fr et là il se fait jeter par Linkedin, alors qu'un mail normal envoyé à partir du même domaine ablink.fr fonctionne très bien !

Y a t'il une subtilité avec les DSN ? Avec Linkedin ? Autre ?

A vore bon coeur....

LeoMajor

Re : DSN rejeté par DMARC

bonjour,

1.Y a t'il une subtilité avec les DSN ?
Le mailfrom est nul. (null sender; rfc prévoit ce cas de figure; cependant certains mta rejettent null sender)
Le rfc du spf, si ma mémoire est bonne, dit que lorsque le mailfrom est nul; le ehlo est alors vérifié (le vérfificateur spf doit alors vérifier le ehlo)

bruno

Re : DSN rejeté par DMARC

Bonjour,

Je ne sui pas sûr de bien comprendre.
De ce que je comprends :
- Linkedin envoie un message à xxxx@dumez-avocat.fr dont la boîte est plaine ;
- le message DSN renvoyé par ton serveur est rejeté car non conforme à la politique DMARC du serveur.

Je commencerais par vérifier les enregistrement SPF et DMARC des deux nom de domaine. Il semble que ton serveur ait une politique DMARC très stricte : rejet et alignement strict sur SPF et DKIM. Il faut donc aussi vérifier que les signatures DKIM sont bien appliquées pour les deux noms de domaines et essayer avec une politique DMARC moins stricte

boubou81

Re : DSN rejeté par DMARC

De retour après les fêtes de fin d'année. Bonne année à tous !

LeoMajor, je ne pense pas que l'entête From soit nulle, quant au EHLO, c'est smtp.ablink.fr.

Bruno, c'est bien cela, et pour être encore plus précis...
Linkedin envoie un message à xxxx@dumez-avocat.fr, nom de domaine virtuel sur mon Postfix, le vrai nom de domaine du serveur est smtp.ablink.fr, le DSN est donc envoyé par smtp.ablink.fr from et je ne connais pas bien l'entête From, il faudrait que je fasse des essais pour en être certain, mais ce devrait être MAILER-DAEMON@ablink.fr, d'après les réglages que j'ai mis dans Postfix.
Les enregistrements SPF, DKIM et DMARC sont tous vérifiés et me semblent corrects, vous pouvez d'ailleurs les interroger et me dire mais perso je ne vois rien de mal fait.

Je vais faire des essais en étant un peu moins sévère un coup sur le nom de domaine virtuel, puis après sur ablink.fr, pour tenter de comprendre...

bruno

Re : DSN rejeté par DMARC

C'est bien parce que je les ai vérifiés que je disais que ta politique dmarc est trop sévère