googlemail-Mails landen im Spam?

pcace

Hi,

ich hab hier grad festgestellt, dass meine Mailkuh alle googlemails in den Spam verschiebt. wenn ich per rspamd die mail scanne bekommen die einen score von ca 30 , und das bekomme ich das hier als Grund genannt:

FREEMAIL_POLICY_FAILURE (16)
BROKEN_HEADERS (7.75)
SPAM_FLAG (5)
NEURAL_SPAM_LONG (3.7) [1.000]
NEURAL_SPAM_SHORT (2.5) [1.000]
R_PARTS_DIFFER (0.5) [100.0%]
R_MIXED_CHARSET (0.25) [subject]
MIME_GOOD (-0.1) [multipart/alternative,text/plain]
ARC_REJECT (0.1) [signature check failed: fail, {[1] = sig:[domainersetzt...].de:reject}]
RCPT_MAILCOW_DOMAIN (0) [[domainersetzt...].de]
FROM_HAS_DN (0)
PREVIOUSLY_DELIVERED (0) [mail@[domainersetzt...].de]
RCPT_COUNT_ONE (0) [1]
RCVD_COUNT_THREE (0) [3]
MID_RHS_MATCH_FROMTLD (0)
TO_DN_ALL (0)
RCVD_NO_TLS_LAST (0)
FROM_EQ_ENVFROM (0)
MIME_TRACE (0) [0:+,1:+,2:~]
TAGGED_FROM (0)

hab ich da was kaputt gemacht? das war noch nicht immer so. :/
Gruß und Dank schonmal für Hinweise was ich da machen kann

dia_moos

Hi,

es scheint so, als wäre der Mailheader kaputt gegangen. Das betrifft mehrere Mails sagst du?

pcace

Hi, ja das betrifft alle Mails die von googlemail kommen.
ich hab mir jetzt grad ein bischen Abhilfe geschaffen indem ich *@googlemail.com und *@gmail.com gewhitelistet habe.
Was kann ich denn für Infos zur Verfügung stellen, damit man dem Problem näher kommen kann?

Gruß und Dank!

dia_moos

Kannst du mal einen Mailheader raussuchen?

Der Log behauptet ja, die Mails wären als SPAM geflagt, um das auszuschließen wäre ein Header spannend. Ich vermute aber, dass in der Prüfung etwas kaputt sein könnte.

pcace

naja - ist schon richtig, dass die Mail einen Spam Header hat - immerhin wurde sie ja auch als spam geflaggt und dann in den Spamordner verschoben.

hier ist eine dieser Mails:

Return-Path: <[...ersetzt...]@gmail.com>
Delivered-To: mail@[...ersetzt...].de
Received: from mail.[...ersetzt...].de ([[...IPersetzt...]])
	by 7919e6be5b6f with LMTP
	id GGisCrxOaWKiuwAA16TbVA
	(envelope-from <[...ersetzt...]@gmail.com>)
	for <mail@[...ersetzt...].de>; Wed, 27 Apr 2022 16:10:04 +0200
Received: from mail-ed1-f41.google.com (mail-ed1-f41.google.com [209.85.208.41])
	(using TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits)
	 key-exchange X25519 server-signature RSA-PSS (2048 bits) server-digest SHA256)
	(No client certificate requested)
	by mail.[...ersetzt...].de (Postcow) with ESMTPS id 932D940042
	for <mail@[...ersetzt...].de>; Wed, 27 Apr 2022 16:10:00 +0200 (CEST)
Received: by mail-ed1-f41.google.com with SMTP id g23so2065174edy.13
        for <mail@[...ersetzt...].de>; Wed, 27 Apr 2022 07:10:00 -0700 (PDT)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=gmail.com; s=20210112;
        h=mime-version:from:date:message-id:subject:to;
        bh=RbvM/9cH8Yb2WnIAtbF8okKXgwAJ2eJldwHipXe8BHA=;
        b=geS7DjgAzwllqmn/xALrmturHjXnyKOLEeAGTd+fohu5F6LUwBfJD2E/hjtT1KwWJw
         guXo4qJPTnYytqNcYPkYEjHrOe7Eubp1Fpi3RwMlqfJtBdXYSKNY49nhSqGsJIOnM5zf
         bS2L57L3umA77Y6o8lX+BRjt4zfnBRpyShoFf76mYTY6bQlMx96CXHWRw4sn7CgqRgU9
         fbcNsQS8dNn1PI1fJz+Qc7DaDM3Zo7L7L9JhiyLZRkLKt3ymBcN0QLttJmp0GlUsgBic
         75/tVsIIUy8SfyqKwX3lE9lS/t4VD1wQY0GlxZvT3HBlX2TR4Mo1/qWLC+XUuozo5brj
         1pFA==
X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=1e100.net; s=20210112;
        h=x-gm-message-state:mime-version:from:date:message-id:subject:to;
        bh=RbvM/9cH8Yb2WnIAtbF8okKXgwAJ2eJldwHipXe8BHA=;
        b=U4hU40UQQbuDteTkd2Y8wpks2bU5TmJAZqsZtndWF5COVE0L7Wd6pbbZnFhlIool9F
         hG9xRJQ+HXtPzsu1W/Pw/lNhjBbMylEvest/lhk8Gv7zy5RfvEei5aGmfatqPggjAIGx
         pMjmJYjHnelRXcM76HMh/GkaynUtFLKsSYuNCDBKIOcluOD/SmRR67+LHNVGeq/KlpA8
         AqQ6HompnfLCcLMuzwmI4Mwv9NFb0R+VbTR3QwN91Zz4ehMQuXSSy9+NKbMAiB9t+ZBf
         Pbk8KUbst5LmlSPtGWG4CBPF8/joH0n2vYUcYbsievwc8BT1dKP8pLNKDdBUnE31Y822
         vwDw==
X-Gm-Message-State: AOAM533UEbpWxBrYLI8f3hcly1EHh8jiBOrnFnORTGLuswoqazGxuG4g
	LIzLmccbpTmIq3Kg6LLE78XCjMvH/I9oXpovZOQjoZuoqNU=
X-Google-Smtp-Source: ABdhPJyj0HVVwNkMUuT9xFfd7bmCGByjHlJo5UwrZHODppfPRkcE1Nz464MEZZTHBQcQdAGEoGKjahyl8qZ1ajDAQ5E=
X-Received: by 2002:a05:6402:2706:b0:424:1cc1:343e with SMTP id
 y6-20020a056402270600b004241cc1343emr30646228edd.51.1651068599976; Wed, 27
 Apr 2022 07:09:59 -0700 (PDT)
MIME-Version: 1.0
From: =?UTF-8?Q?[...ersetzt...]_Fr=C3=B6lich?= <[...ersetzt...]@gmail.com>
Date: Wed, 27 Apr 2022 16:09:51 +0200
Message-ID: <CAM6rKeApKWW9hvfw+cM0+q_786C3nexvpEPz6khRK2yi=JSOxw@mail.gmail.com>
Subject: *** SPAM *** das ist eine Testmail
To: =?UTF-8?Q?[...ersetzt...]_Fr=C3=B6lich?= <mail@[...ersetzt...].de>
Content-Type: multipart/alternative; boundary="00000000000066c72e05dda35d91"
ARC-Authentication-Results: i=1;
	mail.[...ersetzt...].de;
	dkim=pass header.d=gmail.com header.s=20210112 header.b=geS7DjgA;
	dmarc=pass (policy=none) header.from=gmail.com;
	spf=pass (mail.[...ersetzt...].de: domain of [...ersetzt...]@gmail.com designates 209.85.208.41 as permitted sender) smtp.mailfrom=[...ersetzt...]@gmail.com
ARC-Seal: i=1; s=dkim; d=[...ersetzt...].de; t=1651068600; a=rsa-sha256;
	cv=none;
	b=Ag2FdvE0KO8zCeXdgFj72kwr/uiY1b2X5x0aSFF7qbHMMSTLkJTXZll9E9EAHy2mtZ0caC
	j2wZlhPb9QOPCCg/LkweQuIoY/NcAig2ZC1hdRzBAHozzvsBz84s76qeMVz045OY5T96bf
	526K7zzvAGCaL3FbLjIJPKIytqaa0i6c3awqEAJCYjvWLtv+VAXLEg0w5MLrJy5y7QbiI5
	Cheh0pBIanfo7OgFi7zZfbT9rt74FK3m7l1HlfxkTyIwWQ3cBgyVYdLK1bzbOmfTMaBjNz
	c5FPxP7t55lJGOQm2pRGtSmw2x9S5902psUJ6zSpyuTTe5wREGc7TYz9pRDS1Q==
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed;
	d=[...ersetzt...].de; s=dkim; t=1651068600;
	h=from:from:reply-to:subject:subject:date:date:message-id:message-id:
	 to:to:cc:mime-version:mime-version:content-type:content-type:
	 dkim-signature; bh=RbvM/9cH8Yb2WnIAtbF8okKXgwAJ2eJldwHipXe8BHA=;
	b=llCImYGoDfZ9PvDKIufUPkul9Yp8I1EZwkIvnyvlwW+sBdIPjVYiWD/cMhhlyEABXredcs
	U3+Z0V106VHDA4cyTo1NSaJHipRt4MLGLBDe3d2jzOcFsc5NHCUCk9P9ir2fDhsLG+eCeP
	DTNk6zRwOfksepgPT8elLUfV9L/KSkiufg3cyafkTD37lBrUmc3nTugMe3TKQscMTQtj1Q
	yJ381SMnnwiUMGgea/D5W8XNClNTn0eeV4xFj/8dsNxYDMiSI5dZts7wkfHsF8vzR569Kk
	XHJx1jVPmo1CZP/0vU9Y4KgHxUEFND21ixWzgP13fSifW98sBtGFlTOO7fpp2A==
X-Last-TLS-Session-Version: TLSv1.3
Authentication-Results: mail.[...ersetzt...].de;
	dkim=pass header.d=gmail.com header.s=20210112 header.b=geS7DjgA;
	dmarc=pass (policy=none) header.from=gmail.com;
	spf=pass (mail.[...ersetzt...].de: domain of [...ersetzt...]@gmail.com designates 209.85.208.41 as permitted sender) smtp.mailfrom=[...ersetzt...]@gmail.com
X-Spamd-Result: default: False [5.35 / 15.00];
	NEURAL_SPAM_LONG(3.70)[1.000];
	RBL_SORBS_RECENT(2.00)[209.85.208.41:from];
	NEURAL_HAM_SHORT(-2.00)[-1.000];
	BAD_REP_POLICIES(2.00)[];
	IP_REPUTATION_HAM(-0.41)[asn: 15169(-0.40), country: US(-0.01), ip: 209.85.208.41(0.00)];
	R_MIXED_CHARSET(0.17)[subject];
	MIME_GOOD(-0.10)[multipart/alternative,text/plain];
	MX_GOOD(-0.01)[];
	FROM_HAS_DN(0.00)[];
	BCC(0.00)[];
	R_DKIM_ALLOW(0.00)[gmail.com:s=20210112];
	DWL_DNSWL_NONE(0.00)[gmail.com:dkim];
	FREEMAIL_FROM(0.00)[gmail.com];
	FREEMAIL_ENVFROM(0.00)[gmail.com];
	RCVD_IN_DNSWL_NONE(0.00)[209.85.208.41:from];
	TO_MATCH_ENVRCPT_ALL(0.00)[];
	RCPT_COUNT_ONE(0.00)[1];
	PREVIOUSLY_DELIVERED(0.00)[mail@[...ersetzt...].de];
	ARC_NA(0.00)[];
	TAGGED_FROM(0.00)[];
	RWL_MAILSPIKE_POSSIBLE(0.00)[209.85.208.41:from];
	MID_RHS_MATCH_FROMTLD(0.00)[];
	TO_DN_ALL(0.00)[];
	ARC_SIGNED(0.00)[[...ersetzt...].de:s=dkim:i=1];
	R_SPF_ALLOW(0.00)[+ip4:209.85.128.0/17];
	FROM_EQ_ENVFROM(0.00)[];
	DKIM_TRACE(0.00)[gmail.com:+];
	RCPT_MAILCOW_DOMAIN(0.00)[[...ersetzt...].de];
	ASN(0.00)[asn:15169, ipnet:209.85.128.0/17, country:US];
	DMARC_POLICY_ALLOW(0.00)[gmail.com,none];
	MIME_TRACE(0.00)[0:+,1:+,2:~];
	RCVD_TLS_LAST(0.00)[];
	RCVD_COUNT_TWO(0.00)[2]
X-Spam-Flag: YES
X-Rspamd-Queue-Id: 932D940042

--00000000000066c72e05dda35d91
Content-Type: text/plain; charset="UTF-8"

das ist eine Testmail

--00000000000066c72e05dda35d91
Content-Type: text/html; charset="UTF-8"

<div dir="ltr">das ist eine Testmail<br></div>

--00000000000066c72e05dda35d91--

dia_moos

Ja, aber wenn ich “SPAM_FLAG” richtig verstanden habe, dann meint das, der Header hatte ein “diese-Mail-ist-SPAM”-Flag bevor es bei dir angekommen ist. Ansonsten ist jetzt auch das “BROKEN_HEADERS” wieder raus (sieht auch in der Tat nicht Broken aus) und das Neural scheint zu beginnen von SPAM auf HAM zu kippen.

Erst einmal: Es scheint doch nichts kaputt zu sein. Wenn ich das Neural richtig verstanden habe, müsste es zeitnah lernen, dass die Mails valid sind. Dann würden da 3.7 Punkte aus dem Score fallen und vermutlich noch welche von neural_ham dazu kommen. Es müsste sich dann in den nächsten Tagen geben.

Irgendwie muss Rspamd aber auf die Idee gekommen sein, da sei ein Spam-Flag vor dem Empfang gesetzt, bzw. der Header sei kaputt, so steht es ja im Log in deiner ersten Nachricht. Das stimmt halt nicht mit dem Header, den du zuletzt geschickt hast, überein.

pcace

Interessant. Scheinbar hat sich Rspamd wirklich umentschieden und die Mails landen nicht mehr im Spam..
Gruß und Dank!

kwisatz

Ich habe das gleiche Problem bei Mails von hotmail (outlook.com) beobachten können. Insbesondere auch der Header FREEMAIL_POLICY_FAILURE.

Ich versuche gerade mit Hilfe von https://github.com/mailcow/mailcow-dockerized/blob/master/data/conf/rspamd/local.d/composites.conf zu verstehen was genau den Anlass für diese Bewertung gibt.

# Bad policy from free mail providers
FREEMAIL_POLICY_FAILURE {
  expression = "-g+:policies & !DMARC_POLICY_ALLOW & !MAILLIST & ( FREEMAIL_ENVFROM | FREEMAIL_FROM ) & !WHITELISTED_FWD_HOST";
  score = 16.0;
}

Könnte jemand das bitte weiter erläutern? Ist das Haupt-Problem, dass die Email von einem Freemail Provider kommt, aber keinen DMARC_POLICY_ALLOW Header besitzt?

kwisatz

(Anscheinend habe ich keine Berechtigung zum Editieren meines originalen Post?!)

Edit: Es sieht so aus als stamme das Problem daher, dass Microsoft Mails von hotmail.de und outlook.de nicht DKIM signiert. Mails von live.com sind dagegen signiert und können problemlos zugestellt werden.

dia_moos

Naja, freemail_policy_failure ist wahr, wenn Mail “keine DMARC POLICY” hat und “keine Mailinglist” ist und “Absender von freemail” sendet und “Weiterleitungshost nicht gewhitelisted” ist.

kwisatz

dia_moos

Soviel habe ich verstanden, nur dass DMARC_POLICY_ALLOW von einer DKIM Signatur herrührt war mir nicht sofort klar. Wir haben outlook.de und hotmail.de nun gewhitelisted, mich wundert halt nur dass Microsoft Emails von diesen beiden Domains scheinbar nicht signiert.

dia_moos

Ob ein generelles Whitelisting sinnvoll ist, weiß ich auch nicht. Allerdings habe ich auch praktisch keine Interaktion mit diesen Anbietern, kann also auch nicht sagen, ob von dort Spam kommt. Möglicherweise ist eine Signatur ein Feature für die Bezahlkunden? Oder das Interesse an diesem Standard ist einfach nicht vorhanden.