Emails MX Plan rejetés par T-Online (DKIM)

T-Online qui semble imposer le DKIM

Bonjour,

Pouvez-vous documenter avec le message d'erreur complet ?

En tout cas ça passe sans DKIM chez t-online.hu

ne sont plus recevables par T-Online

Il y avait eu une conversation où il y avait une redirection
https://community.ovh.com/t/Email-undelivered-suite-%C3%A0-forward-OVH-vers-Gmail/52579/15

Mauvaise description de l'incident -> possible mauvais diagnostic.

et une autre conversation qui n'a jamais vu la fin
https://community.ovh.com/t/Comment-cr%C3%A9er-enregistrement-DKIM/62661/6


L'examen des en-têtes SMTP est une nécessité pour pouvoir poser ce diagnostic.

Voici l'erreur :

: host mx03.t-online.de[194.25.134.73] said: 559 5.1.9 (DKIM
reject DKIMr) Missing, invalid or non-matching DKIM signature (in reply to
end of DATA command)
Reporting-MTA: dns; mo529.1out.ovh.netout.ovh.net
X-Postfix-Queue-ID: 4V22vl3sCcz106J
X-Postfix-Sender: rfc822; xxxx@myovhdomain.be
Arrival-Date: Sat, 23 Mar 2024 15:20:51 +0000 (UTC)

Final-Recipient: rfc822; xxx@t-online.de
Original-Recipient: rfc822;xxx@t-online.de
Action: failed
Status: 5.1.9
Remote-MTA: dns; mx03.t-online.de
Diagnostic-Code: smtp; 559 5.1.9 (DKIM reject DKIMr) Missing, invalid or
non-matching DKIM signature

From: My OVH email
Subject: Re: Hallo
Date: 23 March 2024 at 16:20:39 CET
To: xxx

myovhdomain.be

Vous avez masqué ce domaine et il est impossible de consulter le SPF pour voir s'il est valide.
S'il est invalide il est probable que t-online tente de valider DKIM à son tour.

Bonjour, le domaine est isolid.be

isolidXbe

Votre SPF est correct. (c'est celui que OVH met en standard)

Je vous envoie un message privé avec mon adresse mail, pouvez-vous m'y envoyer un e-mail depuis la même origine que celui que t-online.de a rejeté ?

xxx@t-online.de: host mx03.t-online.de[194.25.134.73] said: 559 5.1.9 (DKIM
reject DKIMr) Missing, invalid or non-matching DKIM signature (in reply to
end of DATA command)
Reporting-MTA: dns; mo529.1out.ovh.netout.ovh.net

Après un échange en privé avec @JonathanV15, le diagnostic est confirmé.

On a un mail qui est tout-à-fait valide au niveau SPF (avec le discutable SPF de type PTR configuré par OVH) et une absence DKIM.

t-online.de refuse donc ces mails, soit aléatoirement, soit de manière permanente.

C'est un signal fort. @AntC @FabL merci de remonter à vos équipes.
Je crossposte dans la ML [email]

Voici les headers d'un message reçu de la même source (légèrement édités):

Received: from isoliXXbe (37.59.142.103) by DAG8EX1.mxp7.local (172.16.2.71)
with Microsoft SMTP Server (version=TLS1_2,
cipher=TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256) id 15.1.2507.37; Thu, 28 Mar
2024 12:07:04 +0100
Authentication-Results: garm.ovh; auth=pass (GARM-103G005b6940747-56b1-4300-829d-c22934c8e0dd,
EA4019F7F7965789391247C8646762002E706768) smtp.auth=quickscanXisolid.be
X-OVh-ClientIp: 85.26.60.XX
From: QuickScan Support
Content-Type: multipart/alternative;
boundary="Apple-Mail=_8D1347A8-19EC-4C31-8159-CF3DA89CAC3E"
MIME-Version: 1.0 (Mac OS X Mail 16.0 \(3774.400.31\))
Subject: =?utf-8?Q?Email_qui_gen=C3=A8re_l=27erreur_avec_t-online?=
Message-ID: <83187AE2-0F51-4C9A-8FAE-30CD69559C27XisolidXbe>
Date: Thu, 28 Mar 2024 12:06:37 +0100
To: <fXXXXXXXXXX.net>
X-Mailer: Apple Mail (2.3774.400.31)
X-Originating-IP: [37.59.142.103]
X-ClientProxiedBy: DAG8EX1.mxp7.local (172.16.2.71) To DAG8EX1.mxp7.local
(172.16.2.71)
X-Ovh-Tracer-GUID: aa433205-d9db-4e2c-91be-091c306100db
X-Ovh-Tracer-Id: 5717319731192896279
X-VR-SPAMSTATE: OK
X-VR-SPAMSCORE: 0

Bonjour @JonathanV15
Vous n'avez pas de DMARC, mettez-en un neutre comme celui-là, au moins vous préconisez aux serveurs mail qui réceptionnent de ne rien faire ... même s'ils en font ce qu'ils veulent vous verrez bien.
`v=DMARC1;p=none;aspf=r;`

Re bonjour @JonathanV15 ,

Je viens de regarder à nouveau ... le DMARC il faut le faire sur le sous-domaine `_dmarc` et non sur le domaine racine :
`_dmarc.mondomaineamoi.be`
... et là pour le coup, va falloir attendre la propagation DNS !

Bonjour @Lannoy,

merci beaucoup. Je venais de créer le DMARC, vous êtes rapide :-).
Je viens de corriger mon erreur. On attend la propagation maintenant.

Merci, et en espérant que la modification solutionne le problème :)

Bonjour @JonathanV15,

Ca donne quoi après la déclaration DMARC ?

Laurent

Bonjour,

à priori ça a l'air de marcher. J'ai envoyé un email à un destinataire qui m'avait renvoyé une erreur auparavant.
Pas d'erreur cette fois-ci. Mais pas de réponse du destinataire non plus.

Je croise les doigts :-). Merci beaucoup pour l'aide précieuse.
Il serait peut-être utile que ce soit une configuration par défaut ?