Feature-Request: SPF = none ablehnen

Moin,

wäre es möglich, in einer künftigen Version des b1gMail-Servers eine Option einzubauen, mit der eingehende Mails abgelehnt werden können, wenn für die Absenderdomain kein gültiger SPF-Record (SPF = none) vorliegt?

Hintergrund:

• Immer mehr Phishing- und „Leak“-Mails kommen von Domains ohne SPF-Eintrag.
• Diese Nachrichten enthalten häufig echte Passwörter und umgehen bisherige Filter.
• Google & Co. lehnen solche Mails oft strikt ab, was für saubere Mailflows sorgt.

Eine konfigurierbare Einstellung (z. B. reject_spf_none = true) wäre für die interne Verarbeitung und Spamprävention sehr hilfreich, um die Dienste sauber zu halten.

Grüße

Hallo,

das lehnt fehlerhafte SPF ab (hoffe ich) aber nicht welche die gar keinen Eintrag haben, zumindest kommen halt diese Mails noch durch, SPF-fail ist mir noch nicht aufgefallen, die hatten wenn dann SPF NONE also keinen SPF gesetzt

Zitat von informant

Fehlerhafte sind normalerweise lt. Norm auch nicht vorhandene. Jedoch wird dann der EIngang an eMail sum >= 90% schrumpfen, da soviele keinen SPF haben lt. Statisik.

Ja, das ist genau das Problem. Viele nutzen überhaupt kein SPF, aber gerade bei Google und Outlook wird es mittlerweile immer stärker vorausgesetzt. Man könnte es daher zeitweise einschalten und mitlaufen lassen.

DANE teste ich auch nicht, weil damit praktisch gar nichts mehr durchkommt. Den HELO-Check habe ich ebenfalls deaktiviert und beim DKIM-Check brauchen wir eigentlich gar nicht erst anfangen – das ist aktuell noch zu wenig zuverlässig umgesetzt.

Zitat von SLM

Ehrlich gesagt, auf ein paar Unbelehrbare sollte man keine Rücksicht mehr nehmen. Jeder seriöse Provider hat heute zumindest DKM/DMARC und SPF aktiviert.

Google, Yahoo und auch GMX setzen seit Anfang 2024 SPF/DKIM/DMARC voraus, damit sie E-Mails überhaupt verarbeiten:
https://support.google.com/a/answer/81126?hl=de
https://postmaster.gmx.net/de/best-practices#:~:text=Um%20die%20Sicherheit%20und%20Vertraulichkeit,From%2DDomain%20(RFC%205322.

Zu klären wäre aus meiner Sicht, in welchen Fällen

Bei fehlgeschlagener Prüfung:

E-Mail ablehnen

greift.
- Received-SPF: SoftFail
- Received-SPF: Fail
- Received-SPF: Pass
- Received-SPF: Neutral
- Received-SPF: None

Wobei ich bei Stichproben festgestellt habe, dass die meisten Spamversender lustigerweise einen korrekten SPF Eintrag gesetzt haben, der mit SPF: Pass quittiert wird.

Alles anzeigen

Ja, die kommen meist von gehackten Servern mit SPF pass aber es gibt noch eine Menge an Spam die SPF none hat und wenn man das nur kurz einschaltet reciht das manchmal schon um abzuschrecken. Diese Mails mit Passwörtern kommen in Wellen, jetzt sind es sogar schon Morddrohungen mit BTC, wird immer verrückter

Ich hab hier noch so ein Ding nur weiß ich nicht ob das mit der alten Version von b1gmail zusammenhängt

SPF Prüfung schlägt fehl weil der include scheinbar einen timeout bekommt

v=spf1 include:spf-0.secureserver.net -all