SPAM devido a uma validação de SPF malsucedida

Question

Eu tenho um servidor de correio público (Linux + postfix) e alguns clientes usando ele. O servidor está configurado corretamente, incluindo validação DKIM e SPF. Mas emails de apenas alguns dos meus clientes estão sendo marcados como SPAM, porque o client-ip não corresponde aos IPs permitidos dos remetentes e a validação do SPF falha:

FPS recebido: falha (google.com: domínio de [email protected] não designa 217.125.48.20 como remetente permitido) client-ip = 217.125.48.20;

É claro que 217.125.48.20 não é o IP do meu servidor.

Eu não sei o motivo, porque eles estão enviando e-mails de Outlook configurados corretamente (AFAIK). Mesmo assim, a validação do DKIM passa, portanto, o email que passa pelo meu servidor antes é enviado.

Alguém experimentou problemas semelhantes e poderia me dizer quaisquer possíveis razões para essa incompatibilidade?

Aqui estão os cabeçalhos (as caixas de correio foram substituídas por xxxxx):

Delivered-To: [email protected]
Received: by 10.194.70.103 with SMTP id l7csp1376984wju;
        Fri, 2 Sep 2016 04:49:17 -0700 (PDT)
X-Received: by 10.28.154.208 with SMTP id c199mr2895670wme.102.1472816956397;
        Fri, 02 Sep 2016 04:49:16 -0700 (PDT)
Authentication-Results: mx.google.com;
       spf=fail (google.com: domain of [email protected] does not designate 217.125.48.20 as permitted sender) [email protected];
       dkim=pass [email protected]
Received-SPF: fail (google.com: domain of [email protected] does not designate 217.125.48.20 as permitted sender) client-ip=217.125.48.20;
Received: by 10.28.127.2 with POP3 id a2mf7718962wmd.1;
        Fri, 02 Sep 2016 04:49:16 -0700 (PDT)
X-Gmail-Fetch-Info: [email protected] 1 ns.cydsur.com 995 [email protected]
Return-Path: <[email protected]>
Delivered-To: [email protected]
Received: from DANIEL (20.red-217-125-48.staticip.rima-tde.net [217.125.48.20])
    (Authenticated sender: [email protected])
    by ns.cydsur.com (Postfix) with ESMTPSA id 1D985330D3F1;
    Fri,  2 Sep 2016 13:45:14 +0200 (CEST)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=cydsur.com; s=mail;
    t=1472816717; bh=8OGFi38ZIKFm+jXd0aJbg6pZnAOtjZMC4U8yHU+Tpm4=;
    h=From:To:Cc:Subject:Date:From;
    b=OaGmCrOIBLREC3z5kJt4Z91CTK7caJY0FQvYtTQBiJjrAiK4HQw1/LotUW9g7DuZQ
     SOchVeXw7Filp0smGGOdVnJWrSdHEWT74SwqWTULmpYxIHOds68HOIWwJJKR8rxLOe
     a+TidmwP93Zua4ETN51zqU/QVtB9I1oefxd0W0B0=
From: =?iso-8859-1?Q?XXXXXXXXXXXXXX?= <[email protected]>
To: <[email protected]>,
    <[email protected]>
Cc: "'XXXXXXX'" <[email protected]>
Subject: RV: ctas de usuarios.
Date: Fri, 2 Sep 2016 13:45:16 +0200
Message-ID: <000301d2050f$7a7d3540$6f779fc0$@com>
MIME-Version: 1.0
Content-Type: multipart/related;
    boundary="----=_NextPart_000_0004_01D20520.3E060540"
X-Mailer: Microsoft Office Outlook 12.0
Thread-Index: AdHjLl7+vxyBNVQdQIWvJApRimDm9gh3o/5Q
Content-Language: es
X-Spam-Status: No, score=-0.7 required=5.0 tests=ALL_TRUSTED,BAYES_00,
    HTML_MESSAGE,TVD_RCVD_SINGLE,T_KAM_HTML_FONT_INVALID,URIBL_BLOCKED
    autolearn=no autolearn_force=no version=3.4.0
X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on ns.cydsur.com
X-Virus-Scanned: clamav-milter 0.98.7 at ns.cydsur.com
X-Virus-Status: Clean

    

Answer 1

O spam por causa da validação do SPF sem sucesso é um procedimento operacional comum. Se essa validação estiver falhando quando não deveria, os registros SPF no DNS são suspeitos e devem ser examinados com cuidado. Culpar o cliente-ip para a falha "deveria" só importa para o servidor de recebimento MTA.

Olhando os cabeçalhos fornecidos, siga o caminho da mensagem.

Parece que [email protected] escreveu uma mensagem, conectada a partir de (20.red-217-125-48.staticip.rima-tde.net [217.125.48.20]) e autenticada para hospedar ns.cydsur.com para enviar sua mensagem. Out poderia ser um endpoint no domínio cydsur.com ou exigir um relay adicional, mas uma vez aceito pelo MTA (postfix) no cydsur.com, é esse MTA que deve entregar / retransmitir a mensagem para seu destino ou próximo salto. No seu caso, esse endpoint é todo local, e um usuário em um dos domínios hospedados fez o POPped da caixa de correio de uma conta do Google Mail (gmail).

O registro do servidor de nomes (NS), do mail exchanger (MX) e do endereço (A) para afanascadiz.com estão em ns.cydsur.com, assim como os domínios de endereço de destino nos campos TO e CC da mensagem. envelope. Isso pode ser verificado com os comandos dig ou nslookup.

O framework permitido pelo remetente (SPF) se aplica ao endereço FROM da mensagem.

• afanascadiz.com text="v = spf1 incluem: cydsur.com -all"

poderia ser melhor escrito como:

• afanascadiz.com text="v = spf1 mx incluem: cydsur.com -all"

ou melhor ainda como:

• afanascadiz.com text="v = spf1 mx -all"

desde que o mx é realmente ns.cydsur.com de qualquer maneira.

Alternativamente, o -all pode ser alterado para ~ all para relaxar a restrição, mas não pode alterar o resultado final que você está vendo no gmail. Teste cuidadosamente para verificar se isso não afeta a finalidade original da sua configuração de SPF se você usar ~ all.

Nenhuma das configurações de SPF explica por que o Google as está examinando ao agir como um cliente POP3S (anotando a porta 995). O SPF foi projetado para o protocolo SMTP, não para o POP. Considerando que há apenas uma única linha "Recebido:" no cabeçalho SMTP da mensagem antes da recuperação da mensagem em POP, esse pode ser o único dado com o qual o gmail precisa trabalhar para identificar spam. Esta é a razão mais provável, ou pelo menos uma possível, para a incompatibilidade.