DKIM Signierung bei unterschiedlichem MAIL FROM und HEADER FROM

[Mueller]

Guten Abend,

gerade bin ich auf eine weitere Rückfrage gestoßen. Diese Rückfrage bezieht sich auf die Version 15.0.0.222 und den Mandantenmodus.

Für meine Rückfrage habe ich folgenden Ursprungszustand:
- Wir haben den Server 192.168.1.1 welcher über den Mandanten Unwichtig E-Mails versendet. In dem Mandanten Unwichtig ist die Unternehmensdomain unwichtig.de hinterlegt und das DKIM Signing konfiguriert.
- Zusätzlich gibt es noch den Mandant Wichtig mit der Domain wichtig.de. Dort ist auch das DKIM Signing konfiguriert.

Es soll nun von dem Server 192.168.1.1 eine ordnungsgemäß DKIM Signierte E-Mail mit folgenden Absendern versendet werden:
- MAIL FROM: unwichtig@unwichtig.de
- HEADER FROM: wichtig@wichtig.de

Meinen Tests nach wird die E-Mail nur DKIM Signiert, wenn sich beide Domains im selben Mandanten befinden. Wenn sich die Domains in unterschiedlichen Mandanten befinden, werden die Nachrichten nicht DKIM signiert.

Gibt es eine Möglichkeit die DKIM Signierung so zu konfigurieren, dass die Signierung auch passiert, wenn die Absenderadressen in unterschiedlichen Mandanten sind?

Danke

 

[StefanCink]

Hallo Mueller,
danke für die Anfrage. DKIM wird immer auf Basis der Domain im Header-From aufgebracht, daher sollte es eigentlich egal sein, was im Envelope-From steht. Was ich mir vorstellen kann: Das Regelwerk im NoSpamProxy basiert ausschließlich auf den Envelope-Adressdaten. Kann es evtl. sein, dass es bei E-Mails von der "nicht funktionierenden" Mail-From Domain eine andere Regel gibt? Du siehst ja in der Nachrichtenverfolgung, welche Regel verwendet wurde und ob dort auch die DKIM-Signatur-Action konfiguriert ist.
Gruß Stefan

 

[Mueller]

Hallo Stefan,
danke für deine Rückmeldung.

Meiner Prüfung nach wird hierbei die korrekte Regel verwendet. Diese hat auch die DKIM Aktion hinzugefügt.

Ich schätze das Problem hat mit folgendem Punkt zu tun:
- Die E-Mail wird von Mandant 1 verarbeitet
- Der DKIM Schlüssel für die Domain im Header-From liegt allerdings im Mandant 2. Aufgrund dessen kann die Regel im Mandant 1 nicht auf den DKIM Schlüssel im Mandant 2 zugreifen und die Nachricht wird nicht mittels DKIM signiert.

Aufgrund dessen stelle ich mir aktuell die Frage ob es möglich ist Header-From Domains mittels DKIM zu signieren, welche nicht in dem Mandanten angelegt sind, wo die E-Mail verarbeitet wird.

Dieses verhalten tritt in zwei Fällen auf:
- MAIL FROM und HEADER FROM sind unterschiedlich
- Automatische Antworten vom Exchange/Outlook werden aufgrund des leeren Mail-From über den Globalen Mandanten geroutet. (Dieser Bug ist seit der 14.1 da und müsste in der Entwicklung bekannt sein)

 

[StefanCink]

Es wäre dramatisch wenn wir Schlüssel mandantenübergreifend verwenden würden. Ich verstehe ehrlich gesagt auch den Anwendungsfall nicht so ganz. Eine Domain kann immer nur einem Mandanten zugeordnet sein.

Der genannte Bug ist aus meiner Sicht auch kein Bug, da das Regelwerk immer auf Basis des Envelope-From funktioniert. Bei sämtlichen DSNs und automatischen Antworten ist der Mail-From leer (ist von der RFC so gefordert). Das wiederum macht es unmöglich, eine Regel bzw. den Tenant zuzuordnen.

Gruß Stefan

 

[Mueller]

Hallo Stefan,
danke für deine Rückmeldung.
Unser Anwendungsfall wäre, dass wir eine Anwendung betreiben welche Nachrichten mit unserer eignen Domain im Mail FROM versendet. In dem Header From ist die Maildomain des entsprechenden Kunden vorhanden. Unsere eigene Domain und die Kundendomain sind in unterschiedlichen Mandanten konfiguriert.
Aufgrund dessen kommt die komische Konstellation zusammen.

Grundsätzlich bin ich gleicher Meinung, dass die Schlüssel nicht Mandantenübergreifend verwendet werden sollten. Ich sehe dies dann als "Funktioniert wie gewünscht" an und lasse die Anwendung/die Absender der Anwendung anpassen.

Der genannte Bug ist aus meiner Sicht auch kein Bug, da das Regelwerk immer auf Basis des Envelope-From funktioniert. Bei sämtlichen DSNs und automatischen Antworten ist der Mail-From leer (ist von der RFC so gefordert). Das wiederum macht es unmöglich, eine Regel bzw. den Tenant zuzuordnen.

Effektiv sollte der Bug als weiteres Beispiel dienen. Da mir dieses innerhalb eines Hersteller-Support Tickets letztes Jahr (kurz nach Relase von 14.1) als Bug von dem mehrere Kunden betroffen sind bestätigt wurde und in der Version 14.0.5 noch ordnungsgemäß funktioniert hat, sehe ich dies aktuell nicht als relevantes Problem für diesen Thread an.

Demnach wäre meine Rückfrage bezüglich der DKIM Problematik erstmal geklärt.

Danke

 

[StefanCink]

Ok, super. Danke für die Rückmeldung und das Einordnen.