From e5dca0e9c031dd1005fab49e78e11ccaab810f62 Mon Sep 17 00:00:00 2001 From: Frank Schwenk Date: Fri, 12 Jun 2026 10:06:31 +0200 Subject: [PATCH] docs: DMARC p=quarantine and Tutanota blacklist note Document upgraded DMARC policy and known delivery failure to Tuta-hosted addresses from the 0012.de mail server; no remediation planned yet. Co-authored-by: Cursor --- HOSTING.md | 20 +++++++++++++++++--- todo/02-email-smtp.md | 3 ++- 2 files changed, 19 insertions(+), 4 deletions(-) diff --git a/HOSTING.md b/HOSTING.md index 4e3d879..1fcda54 100644 --- a/HOSTING.md +++ b/HOSTING.md @@ -59,7 +59,7 @@ Propagation nach Änderungen: üblicherweise Minuten bis **24 h**. | Host / Name | Typ | TXT-Wert (nur Inhalt, keine Anführungszeichen im UI) | |-------------|-----|------------------------------------------------------| | `0012.de` | TXT | `v=spf1 a mx include:spf-a.org-dns.com -all` | -| `_dmarc.0012.de` | TXT | `v=DMARC1; p=none;` | +| `_dmarc.0012.de` | TXT | `v=DMARC1; p=quarantine;` | | `default._domainkey.0012.de` | TXT | `v=DKIM1; p=…` (Public Key aus Plesk → „Externe DNS konfigurieren“) | | `_domainkey.0012.de` | TXT | `o=-` (DKIM-Policy aus Plesk) | @@ -123,12 +123,26 @@ Webmail / SMTP-Auth: immer die **Hauptadresse** + Postfach-Passwort, nicht den A |---|--------| | **SPF** | ✅ gesetzt (Hoster) — nichts tun | | **DKIM** | In Plesk aktiv; DNS in [wint Kundenbereich](https://login.wint.global/clientarea.php) gesetzt (2026-06-12) — Propagation abwarten | -| **DMARC** | ✅ `v=DMARC1;p=none;` (Hoster) — nichts tun | +| **DMARC** | ✅ `v=DMARC1; p=quarantine;` (wint DNS, 2026-06-12) | -DMARC ist optional zum Start (`p=none` = nur Reports, keine Ablehnung). Erst nach SPF/DKIM-Stabilisierung auf `quarantine`/`reject` erhöhen. Optional `rua=mailto:admin@0012.de` für Aggregate-Reports ergänzen. +DMARC-Policy seit 2026-06-12 auf `p=quarantine` (fehlgeschlagene Auth → Spam/Quarantäne beim Empfänger). Optional später `p=reject` und `rua=mailto:admin@0012.de` für Aggregate-Reports. Prüfung: [mail-tester.com](https://www.mail-tester.com) oder Test mit `php scripts/test-mail.php`. +### Bekannte Einschränkung: Tutanota-Blacklist + +Ausgehende Mails vom 0012.de-Mailserver (`ha01s019.org-dns.com`) werden von **Tutanota** mit Absender-IP-Blacklist abgewiesen: + +``` +: host mail.tutanota.de[185.205.69.213] said: 554 5.7.1 + : Recipient address rejected: Sender address rejected + (blacklisted) (in reply to RCPT TO command) +``` + +**Stand:** bekannt, vorerst **kein Fix** geplant (Delisting beim Hoster/Tuta prüfen, wenn Mail an `@tutanota.de` / Tuta-gehostete Adressen nötig wird). + +**Workaround:** `ALERT_EMAIL` und Testempfänger auf Provider ohne diese Sperre legen (z. B. Gmail) — siehe [`todo/02-email-smtp.md`](todo/02-email-smtp.md). + ### Geplante Nutzung 1. **Monitoring-Alerts** — `monitor@0012.de` → `ALERT_EMAIL` via `sendAlert()` in `config/mail.php` diff --git a/todo/02-email-smtp.md b/todo/02-email-smtp.md index fb9f67d..6ad02e6 100644 --- a/todo/02-email-smtp.md +++ b/todo/02-email-smtp.md @@ -39,7 +39,7 @@ Relay von **boka** → ausgelagert nach [`11-boka-smtp-relay.md`](11-boka-smtp-r - [x] SPF gesetzt (Hoster-DNS) - [x] DKIM in Plesk aktiviert - [ ] DKIM in **öffentlicher DNS** — eingetragen im wint-Kundenbereich (2026-06-12), Propagation prüfen nach ~24 h -- [x] DMARC vorhanden (Hoster-DNS) +- [x] DMARC `p=quarantine` (wint DNS, 2026-06-12) ### Technische Notizen @@ -47,6 +47,7 @@ Relay von **boka** → ausgelagert nach [`11-boka-smtp-relay.md`](11-boka-smtp-r - **Test lokal:** `php scripts/test-mail.php` (liest `.env`) - **Test vom Webspace:** `mail-test.php?token=…` (liest `private/server.env`) - **Tuta/strenge Empfänger:** bis DKIM-DNS steht → `ALERT_EMAIL` Gmail o. ä. +- **Tuta-Blacklist (2026-06-12):** Ausgehende IP des 0012.de-Mailservers ist bei Tutanota gesperrt — Zustellung an `admin@schwenk.online` (und vermutlich andere Tuta-Adressen) schlägt mit `554 … Sender address rejected (blacklisted)` fehl. Vorerst akzeptiert; `ALERT_EMAIL` nicht auf Tuta setzen. Details: [`../HOSTING.md`](../HOSTING.md#bekannte-einschränkung-tutanota-blacklist) - **Kein DNS in Plesk:** Einträge im [wint Kundenlogin](https://login.wint.global/clientarea.php) — siehe [`../HOSTING.md`](../HOSTING.md#dns-bearbeiten-wint-kundenbereich) ## `.env` (Beispiel)