Ist ein DMARC softfail bedenklich?

noLust

Hi,

ich hatte vorhin im dmarc report folgendes Softfail-Ergebnis erhalten:

<?xml version='1.0' encoding='utf-8'?>
<feedback>
	<report_metadata>
		<org_name>Mail.Ru</org_name>
		<email>dmarc_support@corp.mail.ru</email>
		<extra_contact_info>http://help.mail.ru/mail-help</extra_contact_info>
		<report_id>...</report_id>
		<date_range>
			<begin>...</begin>
			<end>...</end>
		</date_range>
	</report_metadata>
	<policy_published>
		<domain>....</domain>
		<adkim>s</adkim>
		<aspf>s</aspf>
		<p>reject</p>
		<sp>reject</sp>
		<pct>100</pct>
	</policy_published>
	<record>
		<row>
			<source_ip>1.2.3.4</source_ip>
			<count>1</count>
			<policy_evaluated>
				<disposition>reject</disposition>
				<dkim>fail</dkim>
				<spf>fail</spf>
			</policy_evaluated>
		</row>
		<identifiers>
			<header_from>....</header_from>
		</identifiers>
		<auth_results>
			<spf>
				<domain>....</domain>
				<scope>mfrom</scope>
				<result>softfail</result>
			</spf>
		</auth_results>
	</record>
</feedback>

Die angegebene source_ip (hier geändert ...) kenne ich nicht. Muss ich mich sorgen?

https://dmarcly.com/blog/why-spf-authentication-fails-none-neutral-fail-hard-fail-soft-fail-temperror-and-permerror-explained

SPF softfail is a weak statement that the host is probably not authorized. The domain has not published a stronger, more definitive policy that results in a "fail". This is typically implemented by appending a ~all mechanism to an SPF record. When this mechanism is evaluated, any IP address will cause SPF to return a softfail result.

Like neutral, SPF softfail can be interpreted in DMARC as either pass or fail, depending on how you set up DMARC on your email server. In OpenDMARC, SPF softfail is interpreted in DMARC as fail by default.

~all ist bei mir im Record hinzugefügt ... Was geht da wohl vor sich?

noLust

So ... nächster Report, und hier stimmt wieder alles:

<?xml version="1.0" encoding="UTF-8"?>
<feedback xmlns="urn:ietf:params:xml:ns:dmarc-2.0">
   <version>1.0</version>
   <report_metadata>
      <org_name>GMX</org_name>
      <email>noreply-dmarc@sicher.gmx.net</email>
      <extra_contact_info>https://postmaster.gmx.net/en/case?...</extra_contact_info>
      <report_id>...</report_id>
      <date_range>
         <begin>...</begin>
         <end>...</end>
      </date_range>
   </report_metadata>
   <policy_published>
      <domain>....</domain>
      <discovery_method>psl</discovery_method>
      <adkim>s</adkim>
      <aspf>s</aspf>
      <p>reject</p>
      <sp>reject</sp>
      <testing>n</testing>
   </policy_published>
   <record>
      <row>
         <source_ip>stimmt</source_ip>
         <count>5</count>
         <policy_evaluated>
            <disposition>none</disposition>
            <dkim>pass</dkim>
            <spf>pass</spf>
         </policy_evaluated>
      </row>
      <identifiers>
         <envelope_from>....</envelope_from>
         <header_from>....</header_from>
      </identifiers>
      <auth_results>
         <dkim>
            <domain>....</domain>
            <selector>mail</selector>
            <result>pass</result>
         </dkim>
         <spf>
            <domain>....</domain>
            <scope>mfrom</scope>
            <result>pass</result>
         </spf>
      </auth_results>
   </record>
</feedback>

noLust

Hat wieder keiner Ahnung?

Dravere

Ich verstehe nicht, was du willst. Du gibst im SPF mittels ~all an, dass ein softfail stattfinden soll, wenn es von einer nicht genehmigten IP kommt und mail.ru reagiert mit einem softfail. Dann hat alles so funktioniert, wie du es wolltest?

noLust

@Dravere sagte in Ist ein DMARC softfail bedenklich?:

wenn es von einer nicht genehmigten IP kommt und mail.ru reagiert mit einem softfail. Dann hat alles so funktioniert, wie du es wolltest?

heißt das im Umkehrschluss, jemand hat versucht, im Namen von meinem Mailserver eine E-Mail zu senden?

Dann ist doch alles ok und der Betrug flug auf.

Dravere

Das ist jedenfalls was ich hier annehmen würde. Jemand hat versucht deine Domain im From-Header zu verwenden. Das passiert ständig und ist ganz normal. Deshalb setzt man ja so Dinge wie SPF auf. Gmail ist zum Beispiel inzwischen soweit, dass es gar keine E-Mails mehr von Domains akzeptiert, welche nicht mindestens SPF konfiguriert haben.

noLust

Prima, dann ist bei mir dmarc, spf und dkim korrekt konfiguriert.

Bzw. ... das wusste ich auch schon vorher, aber ich hab eben den Report nicht verstanden ... Aber es ist doch freundlich, dass mail ru darauf hinweist.

Btw. kennst du dich mit t-online aus? Die weisen jeden eigenen Mailserver ab, solange man nicht Perso hinsendet oder so... verstehe ich nicht, was das Vergraulen soll. Quelle

Dravere

Keine Ahnung bezüglich T-Online. Aber ich weiss, dass es Probleme mit SPF geben kann, wenn eine E-Mail weitergeleitet wird und der weiterleitende Server kein SRS unterstützt.

noLust

@Dravere sagte in Ist ein DMARC softfail bedenklich?:

Keine Ahnung bezüglich T-Online.

Das ist aber so ... solange sie ihre Politik nicht ändern, kann ich leider keine Mails dorthin senden.

Schlangenmensch

@noLust Es ist wohl zumindest prinzipiell möglich von einer eigenen Domain E-Mails an T-Online zu senden: https://sendgrid.com/en-us/blog/how-to-meet-the-new-t-online-de-email-delivery-requirements

https://postmaster.t-online.de/index.en.html