Monatlicher Security report

Zitat von riawie

Ist für uns als Strato Kunden recht simpel über deren DNS Einstellungen machbar gewesen.

Hab bei all inkl nachgeschaut.

Das hab ich auch so gemacht. Sehe ich grade schon im August 2025.

Aber scheinbar die Einstellung im David nicht aktiviert.

Nun wollte ich das aktivieren. Dort ist aber ein anderer Schlüssel angegeben.

Muss ich den aus David dann bei Allink eintragen bzw. eintragen lassen?

Was habt ihr hier alles aktiviert?

Zitat von lycra

Muss ich den aus David dann bei Allink eintragen bzw. eintragen lassen?

Ja, David generiert das Schlüsselpaar, den öffentlichen Teil davon siehst du im dvadmin, den musst du ins DNS eintragen (lassen) inklusive Separator

Zitat von lycra

Was habt ihr hier alles aktiviert?

Wenn du deine Mails per POP3 von Strato holst brauchst du hier nichts aktivieren/eintragen. In dem Fall ist der Strato SMTP für den Empfang der Mails verantwortlich und muss die DMARC Regeln beachten.

Sekunde, der DMARC Teil auf der Seite wo Du gerade schaust ist nur für den Fall zu konfigurieren wenn Du selbst direkt mit dem David Mail Server Mails per SMTP empfängst.
Wir lassen alle unsere Mails beim Provider empfangen und holen sie dort mit POP3 ab.

Wir senden aber Mails direkt statt über den Provider / smarthost und entsprechend haben wir den dafür zuständigen Sender Teil DKIM konfiguriert, welcher dann beim Empfänger in der Überprüfung landet wie man sie im Falle eines David Servers auf der von Dir gezeigten Seite konfiguriert.

Für die DKIM Konfiguration als Sender musst Du per Rechtsklick auf System > Konfigurieren > Übertragung gehen


Dort trägst Du dann beim Selektor einen für Euer DNS Setup eindeutigen Namen ein, wie z.B. david und im Feld Domäne(n) alle von Euch als Teil der Absender eMail Adressen genutzten Domains als Komma separierte Liste.
Dann klickst Du auf Neues Schlüsselpaar generieren.
Nun legst Du bei Eurem Provider einen TXT Record an, wie er oben unter -Name angezeigt wird.

Zusätzlich sollte dann noch der spf Record bei Eurem Provider angepasst werden, so das er auch Eure statische IP Adresse als zulässigen Sender ausweist. Wenn Ihr weiterhin Mails zum Teil auch über Euren Provider versenden können wollt muss der neue SPF Record natürlich auch die Mail Server Eures Providers mit enthalten. Wie Du das bei Euch genau konfigurieren musst wäre dabei der Dokumentation bei Eurem Provider zu entnehmen.

Zitat von Wizzard

Ja, David generiert das Schlüsselpaar, den öffentlichen Teil davon siehst du im dvadmin, den musst du ins DNS eintragen (lassen) inklusive Separator

Hab ich soeben mal gemacht nachdem allink mir sagte ich muss einen neuen DNS eintrag machen.
Dachte zuerst ich muss den alten bearbeiten, das ging aber nicht.

Zitat von Wizzard

Wenn du deine Mails per POP3 von Strato holst brauchst du hier nichts aktivieren/eintragen. In dem Fall ist der Strato SMTP für den Empfang der Mails verantwortlich und muss die DMARC Regeln beachten.

Wir haben nicht strato sondern https://all-inkl.com/ und ja da holen wir die e-mails immer per POP3 ab.

In Transit ist nun eine Mail:

DKIM Result: eMail successfully signed, verification passed
DKIM functional.

Zitat von riawie

Sekunde, der DMARC Teil auf der Seite wo Du gerade schaust ist nur für den Fall zu konfigurieren wenn Du selbst direkt mit dem David Mail Server Mails per SMTP empfängst.
Wir lassen alle unsere Mails beim Provider empfangen und holen sie dort mit POP3 ab.

Wir auch

Zitat von riawie

Wir senden aber Mails direkt statt über den Provider / smarthost und entsprechend haben wir den dafür zuständigen Sender Teil DKIM konfiguriert, welcher dann beim Empfänger in der Überprüfung landet wie man sie im Falle eines David Servers auf der von Dir gezeigten Seite konfiguriert.

Bei uns steht:

also scheinbar wird bei uns über smarthost geschickt. dann brauchen wir das nicht einstellen?!

Zitat von lycra

also scheinbar wird bei uns über smarthost geschickt. dann brauchen wir das nicht einstellen?!

So verstehe ich das, ja. Geh doch versuchsweise mal auf https://www.mail-tester.com/ und schick eine Nachricht an die dort generierte Zufalls-Adresse. Dann siehst du direkt, wie die Nachricht beim Empfänger ankommt und ob dieser ggf. daran noch etwas zu meckern hat.

Zitat von lycra

also scheinbar wird bei uns über smarthost geschickt. dann brauchen wir das nicht einstellen?!

Wer alles über den Provider / smarthost schickt und damit klar kommt braucht das im David Server tatsächlich nicht zu konfigurieren.

Allerdings sollte man ruhig mal prüfen ob es im David Administrator unter:

eMail > Postman - SMTP Dienst > Datenbanken > Sende Methode

nicht eventuell Ausnahmen gibt, für bestimmte Domains doch direkt zu senden.

Falls es da keine gibt braucht man DKIM dann tatsächlich nicht.

In dem Fall empfehle ich allerdings zumindest mal beim Provider zu checken ob DKIM und SPF dort korrekt konfiguriert sind, so das nur von seinem Mail Server aus in Eurem Namen gesendet werden darf.

Bei uns ist es so das einige Kunden Mails nur dann von uns entgegen nehmen, wenn wir diese direkt per SMTP senden und nicht über den Smarthost.

Außerdem kann es Vorteile haben direkt zu senden, wenn man Mailempfänger bedient deren Provider große Mails über 10 MB akzeptieren, welche aber unterwegs hängen bleiben. Auch diese Fälle haben wir bei uns.

Und weil wir dann auch noch Empfänger haben die nichts von unserer festen IP Adresse annehmen wollen nutzen wir somit letztlich beide Versandwege und passen das im Bedarfsfall individuell an.

Flexibler ist man also unterwegs wenn man DKIM und SPF beim Provider im DNS korrekt einrichtet. Denn dann kann man im Zweifel fix mit einer Sendemethode reagieren

Bei uns sind sende Methoden für jedes Benutzer Konto eingerichtet. Es ist bei uns ja auch immer noch so das wir kein echtes catch all haben sondern für jeden Benutzer ein pop3 Fach.

Auch dad könnte man ggf optimieren wenn man denn wollte ob es der Aufwand dann wert ist bzw einen Mehrwert liefert keine Ahnung..

für mich unvorstellbar.
Aber wir handlen auch deutlich mehr Nutzer und haben Dutzende special purpose eMail Adressen, nichts davon ist ohne catchall sinnvoll umsetzbar.
Noch schlimmer wäre die Vorstellung einen Zoo von Sende Methoden managen zu müssen. Vor allem weil wir es eben mit verschieden gearteten Kunden zu tun haben, die mal direkte, mal smarthost Einlieferung der Mails erforderlich machen.
Für mich ist das neben der Flexibilität auch einfach eine Frage der Standardkonfomität.
So ganz nebenbei macht es Änderungen in der Infrastruktur deutlich einfacher.
Man stelle sich nur mal vor der Provider sollte gewechselt werden, wenn man da dann jede Mailbox einzeln anfassen muss :o

Moin ja du hast wahrscheinlich recht. Aber siehst du jetzt grad einen Vorteil für mich bei 6 Benutzern?

1. Wenn kein Anbieter Wechsel ansteht?

2. Keine weiteren Benutzer anzulegen sind?

Du ordnest ja dann über verteil regeln korrekt in die jeweiligen Postfächer korrekt? Die müsste ich ja alle erst noch anlegen etc (glaub ich)

Daher hätte ich für die Umstellung erstmal Aufwand und sehe bei uns keinen echten Vorteil bzw Unterschied. Ausser ich übersehe grade was

Zitat von lycra

Du ordnest ja dann über verteil regeln korrekt in die jeweiligen Postfächer korrekt? Die müsste ich ja alle erst noch anlegen etc (glaub ich)

Über Regeln muss nur verteilt werden wofür es keine bei den Nutzern eingetragenen eMail Adressen gibt.
Die Haupt eMail Adresse jedes Nutzers geht diesem immer automatisch zu, so lang man das beim abholen des POP3 Catchall Postfach auszuwertende Header Feld korrekt konfiguriert hat.
Der Rest - also all die ganzen Gruppeneingänge und Rollen basierten eMail Adressen - wird über die Verteilvorgaben (nicht über Verteilregeln!) einzelnen Archiven, oder Nutzern zugestellt.

Zitat von lycra

Daher hätte ich für die Umstellung erstmal Aufwand und sehe bei uns keinen echten Vorteil bzw Unterschied. Ausser ich übersehe grade was

Das ist natürlich unbestreitbar erst mal etwas Arbeit.
Ist natürlich ne Mentalitätsfrage.
Würde ich so ein System irgendwo vorfinden würde ich das früher oder später umbauen, weil mir sonst ständig der Überblick fehlen würde.
Wenn Du jederzeit genau weißt was wo passiert und nicht in Probleme oder Limitationen damit gerätst kannst Du Dich natürlich auch zurücklehnen.
Ob das bei Euch bereits Stellen gibt, oder gab, wo diese Einzelabholungen an Limits gestoßen sind weiß ich natürlich nicht.

Zitat von riawie

Das ist natürlich unbestreitbar erst mal etwas Arbeit.
Ist natürlich ne Mentalitätsfrage.
Würde ich so ein System irgendwo vorfinden würde ich das früher oder später umbauen, weil mir sonst ständig der Überblick fehlen würde.
Wenn Du jederzeit genau weißt was wo passiert und nicht in Probleme oder Limitationen damit gerätst kannst Du Dich natürlich auch zurücklehnen.
Ob das bei Euch bereits Stellen gibt, oder gab, wo diese Einzelabholungen an Limits gestoßen sind weiß ich natürlich nicht.

Ich wüsste nun nicht welche Limits zu meinst?!

WIr haben 6 aktive David Benutzer. Ich habe dafür aber einige Postfächer mehr, da ich 2 Firmen damit betreue. Sprich 4 der 6 Benutzer haben 2 E-mailadressen und ich habe noch 2 weitere. Mit Catch All wäre das ja eigentlich nur pro Domain dann 1 Adresse. und wenn die hinterlegt sind wie du sagst würden die auch automatisch verteilt werden. Ich überlege es mir mal