emailspooftest bei eigener E-Mail-Domain

[dotic]

Hallo,

im Zusammenhang mit diesem Thread habe ich seit zwei Wochen eine eigene Domain.
Ich habe mich auch intensiv eingelesen/Videos geschaut zu SPF, DKIM, DMARC etc.

Meine Domain habe ich mir nun bei inwx gekauft und bei Tuta angebunden.
Die DNS-Einträge, die Tuta angibt, habe ich hier noch etwas angepasst.

Mein SPF TXT-Eintrag habe ich quasi bei -all belassen (Standard von Tuta), sodass wirklich nur die IP-Adressen beim Empfänger ankommen, die auch senden dürfen.
Beim DMARC-Eintrag habe ich adkim auf strict belassen und aspf=s hinzugefügt, sowie eine rua- und ruf-Mail (ich würde gerne beide Berichte mal sehen) hinterlegt. Die Policy habe ich von quarantine zu reject geändert.

Das heißt, dass meine DNS-Einträge sehr streng sind.

Nun gut, jetzt habe ich mal einen Test bei https://emailspooftest.com durchlaufen lassen und folgende Mails erhalten:

E1 im Postfach = i.O.


E3 im Spam-Ordner mit Hinweistext bzgl. Fälschung:

DIAG E3: Strict DKIM and Strict PF test for [DOMAINNAME] ID: XXX​

YOU SHOULD NEVER RECEIVE THIS EMAIL!

This email system failed to reject this fraudulent email. Why this email should have been rejected: SPF is deny all senders, DMARC is reject with strict SPF.

This security issue is often used to trick users with fraudulent emails.


E5 im Spam-Ordner mit Hinweistext bzgl. Fälschung:

DIAG E5: Relaxed SPF and Strict DKIM test for [DOMAINNAME] ID: XXX​

YOU SHOULD NEVER RECEIVE THIS EMAIL!

This email system failed to reject this fraudulent email with strict DKIM and no DKIM signature.

This security issue can be used to compromise users.


E7 im Spam-Ordner mit Hinweistext bzgl. Fälschung:

DIAG E7: SPF fail with No DMARC test for [DOMAINNAME] ID: XXX​

YOU SHOULD NEVER RECEIVE THIS EMAIL!

This email system failed to reject this fraudulent email from an IP that fails SPF.

This security issue is the most common way spam and phishing get in to compromise users and spread ransomware.


E9 im Spam-Ordner mit Hinweistext bzgl. Fälschung:

DIAG E9: Internal email authentication test for [DOMAINNAME] ID: XXX​

YOU SHOULD NEVER RECEIVE THIS EMAIL!

Getting this email means your email system allows anyone to email as you. Anyone can send email as the people [@DOMAINNAME]

This security issue is used often to compromise users, steal data, and manipulate internal affairs.



Sind das Fehler, die ich beheben muss oder muss das Tuta beheben? Bei den DNS-Einträgen wüsste ich nicht, was dort noch verbessert werden könnte.

Vielen Dank für eure Hilfe!

 

[aluis]

Ich will jetzt keine halbe Seite Erklärung schreiben, aber die Email erklärt alle Probleme ganz genau.

• dein SPF blockt, da sind die Sender wohl falsch konfiguriert
• du benutzt DKIM, hast aber offensichtlich keinen Schlüssel
• dein -all scheint auch nicht richtig zu greifen

Ich würde mich an deiner Stelle besser in die genannten Technologien einlesen. Sie abschalten ist keine Option, dann landet Richtung gmail, outlook, also alle großen Provider alles automatisch im Spam.

Außerdem würde ich einen tlsa record und DNS Sec empfehlen. Das gibt nochmal Punkte, damit deine Mails kein Spam sind. Aber wenn du PKI und die Technologien nicht genau durchschaust, dann ist ein GMX Pro Konto wohl besser für dich.

 

[dotic]

@aluis Erstmal vielen Dank.

Zu den Punkten:

• Beim Sender kann ich ja schlecht etwas ändern(?)
• Schlüssel liegt vor, das bestätigen mir auch unzählige Tests. Das ist auch von Tuta so vorgegeben. CNAME-Eintrag existiert auch mit _domainkey.
• Mein TXT-Eintrag: v=spf1 include:spf.tutanota.de -all (Standard von Tuta vorgegeben. Paar Tage ~all gehabt, aber wieder auf Hard Fail gewechselt.)

Zu TLSA habe ich tatsächlich keine Ahnung, muss ich zu etwas recherchieren. Der DNSSEC habe ich (erst) gestern angelegt und ist auch - lt. Mail von INWX - aktiv. Status zeigt auch "OK" an.


//Edit: Zu TLSA etwas recherchiert und der TLSA Record ist anscheinend für DANE.
Da Tuta DANE unterstützt, werde ich den Record wohl nicht benötigen, oder?

powerdmarc gibt mir auch ein Ergebnis von 95 % (A+) aus. Es fehlt lediglich BIMI.
internet.nl gibt mir 90 %, weil Tuta (noch) kein IPv6 unterstützt.