Beiträge von Telly

Zitat von axstet

Ich bekomme viel gespooften Spam von meinen eigenen Domains. Z. B. Webmail Phishing.

Krass ... dachte sowas passiert eher bei "bekannteren" Domains, bin davon bisher verschont geblieben. IMHO, noch ein Grund mehr auf die "reject" Policy zu setzen.

Danke Virinum & m_ueberall ! Ich habe ja jetzt schon viele Tests gemacht und kann eigentlich sicherstellen laut der DMARC Reports, dass es auch nur eine valide Mailquelle (von meinem Mailclient / meiner Privatdomain) gibt. Sollte meine Domain wirklich einmal gespoofed werden (passiert soetwas überhaupt bei unbekannten "Privatdomains"?), dann sehe ich auch keinen Grund diese bei anderen Mailservern "nur" unter Quarantäne zu stellen, sondern möchte eigentlich, dass solch Schund auch "rejected" wird.

Von daher würde ich es jetzt wie Virinum beschrieb, auf strikt setzen. Macht der Gedankengang so Sinn?

Hi Leute,

als Nachfass zu meinem vorherigen Thread - DMARC initial einrichten - ein paar Anfängerfragen - IMAP / POP3 - netcup Kundenforum - habe ich nun mit der DMARC Policy "p=none" als Kontrolle, mir einige Wochen entsprechende Berichte schicken lassen (Danke noch mal speziell an Virinum , der mir per PM zum Setup einige gute Hinweise gegeben hat ). Ich würde nun den nächsten (eigentlich den für mich letzten) Schritt machen und die Policy umstellen.

Meine Frage: so wie ich das verstehe, gibt es quasi strikt (p=quarantine) oder sehr strikt (p=reject). Je nachdem ob ich möchte, dass gespoofte Mails von meiner Domain bei denen SPF und DKIM fehlschlägt (die also von irgendnem Spammer sind), vom empfangenden Mailserver als Spam geflagged oder direkt geblockt werden... korrekt?

Was ist empfehlenswerter? "quaranatine" oder "reject" als Policy? Ich würde zu "reject" tendieren, da die Mail dann ja eh nicht von mir wäre und ich dem Spammer dann auch gar keine Chance geben würde, sie zuzustellen. Was würde denn für "quarantine" überhaupt sprechen?

Teilt gerne Eure Erfahrung, bzw. welche Policy ihr bei Eurem DMARC Setting genommen habt (und warum). Danke!

Alles klar, Danke Dir (mal wieder ) Virinum ! Ich werde das SSL / Let's Encrypt Thema am Wochenende angehen.

Zitat von Virinum

Finde das jetzt gerade nicht. Wo genau steht das?

Danke Euch! Ein Wildcardzertifikat brauche ich nicht ... es geht auch nur um eine Hauptdomain (ohne Subdomains, o.ä.).

Der Text steht in dem Infopopup in der Hostingübersicht - siehe Screenshot. Virinum

Und ja Olivetti Du hast recht, ich finde das als Neukunde auch etwas verwirrend. Dass liest sich so, als wären Nutzer die ihre Domain nicht über netcup bezogen haben, vom Let's Encrypt Zert. ausgeschlossen, bzw. würden dieses nicht "inklusive" erhalten.

Hallo zusammen,

ich habe meine kleine, private Seite gerade frisch zu netcup gezogen (Hosting 1000) und habe eine Verständnisfrage zur Absicherung mittels SSL-Zertifikat. Meine Domain (.me) selber ist nicht bei netcup, sondern extern (bei Namecheap.com) gehostet und registriert. Ich zeige also von Namecheap nur auf den netcup Webserver.

Frage: meine externe Domain ist mittlerweile bei netcup "aktiv", sprich: ich habe einmalig alle DNS Einträge für netcup gemacht, Domain im Panel aktiviert und danach DNS noch mal angepasst. Funktioniert soweit auch alles. Kann ich für die Absicherung das gratis Let's Encrypt nehmen? Was mich wundert ist, dass in der Hosting 1000 Beschreibung steht:

"Für jede Domain, die sie über uns beziehen, erhalten sie ein kostenloses Let's Encrypt Zertifikat ..." Dies trifft auf mich ja nicht zu, da ich meine Domain bereits hatte und nicht über netcup bezogen habe.

Trotzdem kann ich im Panel das Let's Encrypt auswählen - siehe Screenshot. Habe es noch nicht gemacht, da ich etwas verwirrt war dementsprechend. Funktioniert das in meinem Fall nicht? Dann wäre die Konsequenz, dass ich mir bei Namecheap direkt das günstigste SSL-Cert kaufen würde. Wenn das netcup Let's Encrypt jedoch out of the Box in meinem Fall gehen würde, würde ich der Einfachheit halber diese Variante bevorzugen.

Kann mich jemand erhellen?

Zitat von DerRené

dabei habe ich erst gestern am PC einen Google Account für ein Testgerät erstellt - und das ohne Handynr. Lediglich eine weitere Mailadresse zur Passwortwiederherstellung habe ich hinterlegt (gefühlt war das auch optional, aber da bin ich mir nicht sicher)

pasted-from-clipboard.png

Evtl. vom Endgerät abhängig o.ä.? Sag gern Bescheid wenn ich dir auch eine erstellen soll.

Danke Dir DerRené ! Kann auch sein, dass es an meinem VPN lag ... ich habs jetzt nicht weitergehend ausprobiert, aber es war bei mir nicht optional. Ich bin jetzt mit Virinum in Kontakt, der netterweise eine zum "DMARC Testing" bereitstellt. Aber lieben Dank, dass Du hier auch aushelfen kannst - ich seid alle wirklich super hilfsbereit. Finde ich klasse und hoffe, ich kann irgendwann auch mal Hilfe beisteuern.

Zitat von Valkyrie

Erstell dir doch eben eine Adresse, man muss dafür ja nichts (sinnvolles) angeben

tellyistoberkrass@gmail.com klingt doch gut

Irgendwie hatte ich Erinnerung, dass man für die Erstellung von Gmail Accounts eine valide Mobilnummer angeben musste zur Verifizierung des Mailaccounts (zumindest meine ich, dass das früher mal so war - da wäre ich dann jedenfalls raus). Wenn das inzwischen so easy ist: danke für den Hinweis, dann checke ich das mal.

Du kannst ohne eine Mobilnummerverifizierung keinen Googleaccount erstellen, habs gerade getestet ... das wird jetzt aber zu sehr offtopic, ich schaue mal wie ich es teste. Ansonsten muss ja irgendwann mal früher oder später auch von einem Nicht-Google/Mircrosoft Mailserver so ein Report kommen.

Hi tab , danke! Ich will das Thema nicht länger melken als nötig, Du hast ja quasi schon alles erläutert.

TTL für DMARC: macht Sinn, ich lasse sie auf 5 Minuten. Ich beobachte weiterhin mal was an Reports kommt, leider habe ich keine Mircrosoft oder Google Mail Adressaten zum Testen.

Ich habe nicht vor meine Mails umzuziehen, so lange Mailbox.org existiert (und ich hoffe, dass tun sie noch lange) würde ich gerne meine Mail dort weiterhosten. Ich bin mehr als zufrieden mit dem Mailhosting der eigenen Domain dort.

Aufgrund dessen - und das hast Du ja in Deinem letzten Absatz bestätigt, läuft es bei mir nach der "Testphase" auf

v=DMARC1; p=reject; fo=1; rua=mailto:dmarc@mydomain.com

hinaus (also mit reject und fo=1). Macht das Sinn?

Nochmals Danke für Deine Infos und Deinen langen Atem

Zitat von tab

Schick mal was an Microsoft-Adressen (outlook.de, outlook.com etc) oder gmail-Adressen. Da sind Mailserver, die auch Protokolle liefern. Das zu tun ist ja für den empfangenden Mailserver keine Verpflichtung, viele tun es nicht. Die TTL bestimmt eben, wie schnell eventuelle Änderungen von anderen Nameservern weltweit übernommen werden. Ich nehme meist etwa eine Stunde. Bei deSEC werden die aber von öffentlichen Resolver von Google/Cloudflare etc trotzdem schneller aktualisiert.

Ja, die Meldung liegt an "p=none". Damit wird ja die Auslieferung von gefälschten Mails nicht unterbunden. Damit schaust du dir derzeit nur durch die Protokolle an, was so alles passiert. Also ob deine eigenen Mails von deiner Domain die Tests bestehen und wer sonst noch so alles mit deiner Domain sendet. Zu letzterem ist bisher meine Erfahrung, dass ich Meldungen über unberechtigte Mails nur von mail.ru bekomme. Letztens muss wohl ein Mailserver in Gambia eine Mail von einer meiner Domains an eine mail.ru Adresse geschickt haben, die dann als Spam ausgeliefert wurde(p=quarantine war ingestellt, aber viele Mailserver weisen auch dann nicht ab, wenn man p=reject verwendet).

Danke Dir tab! Bez. TTL: ja, generell kenne ich den Wert in Bezug auf DNS, mich hat nur gewundert, dass mein Mailhost (mailbox.org) in diesem speziellen Fall für den DMARC TXT Record eine geringe TTL empfiehlt - siehe Screenshot anbei. Gibt es dazu irgendeinen besonderen Grund?

Zur Policy noch mal eine generelle Verständnisfrage: wenn ich keine Reports erhalte, kann ich davon ausgehen, dass meine Maildomain schlicht nicht "misbraucht" wird und mehr oder weniger sauber ist?

Ich würde dann demnächst die Policy umstellen auf:

v=DMARC1; p=reject; fo=1; rua=mailto:dmarc@mydomain.com

Letzte Frage dazu: ist es sinnvoll mittels "fo=1" das Kriterium etwas strikter zu machen (bei 1 reicht es aus wenn SPF oder DKIM bei der Überprüfung fehlschlägt, bei 0 muss SPF und DKIM fehlschlagen)?

Ich kann den Impact wie gesagt mangels Erfahrung nicht abschätzen...

Lieben Dank für das Feedback, Dragon  m_ueberall !

Ich habe den DMARC Einträg gestern gesetzt und erstmal folgende Policy verwendet:

v=DMARC1; p=none; fo=1; rua=mailto:dmarc@mydomain.com;

Bisher kam noch nichts rein auf die Mail. 2 Fragen noch weitergehend:

1. mailbox.org empfiehlt eine relativ niedrige TTL für den DMARC TXT Record (ca. 5 Minuten). Wenn ich keine Änderungen an dem Eintrag längerfristig plane vorzunehmen, wieso die kurze TTL? Habt ihr die TTL bei Eurem Registrar auf “Automatik” gelassen?
2. Ich habe heute mal ein paar DMARC Checker auf meine Domain geprüft. Was mich etwas wundert ist, dass zwar kommt, dass ein valider DMARC Eintrag vorliegt, aber gleichzeitig die Meldung erscheint:

"Your domain has a valid DMARC record but the DMARC policy does not prevent abuse of your domain by phishers and spammers."

Ist das auf die “p=none” Policy zurückzuführen? Sollten keinerlei Reports an die DMARC-EMail kommen, macht es dann Sinn auf "quarantine" oder "reject" zu wechseln? Irgendwelche Empfehlungen diesbezüglich?

Noch mal Danke für Eure Hilfe!

Hallo Forum,

ich habe für meine Domain erfolgreich SPF & DKIM eingerichtet, nun fehlt nur noch DMARC. Zu letzterem habe ich mich schon ein wenig eingelesen, habe aber noch ein paar kurze Fragen.

Randinfo: ich habe meine Domain-Emails nicht direkt bei netcup (hier liegt nur meine Website), sondern habe sie zu Mailbox.org gezogen (per MX-Record & über ein Alias eingebunden). Sollte aber für den DMARC Teil nicht relevant sein.

1. Ist es empfehlenswert eine dedizierte Email Adresse für den DMARC Eintrag zu nehmen? Ich kann überhaupt nicht einschätzen, wieviel an DMARC Reports hier reinkommen wird, möchte aber vermeiden mit Report "zugeflutet" zu werden. Ich gehe davon aus, dass es keine gute Idee ist, seine "Hauptemail" dafür zu nehmen?
2. (an 1. anlehnend): Kann es eine beliebige Email sein oder muss es "postmaster@mydomain.com" sein? In den meisten Beispielen die ich online gesehen habe, wurde überall die postmaster@... verwendet.
3. Ist es sinnvoll die Policy vorerst auf "p=none" zu lassen für einige Zeit und dann mglw. erst später auf eine verwerfende, striktere Policy zu wechseln? Wie sind da Eure Erfahrungen gewesen?
4. An mein initial beschriebenes Mailsetup anlehnend: spricht irgendetwas dagegen, mir ein Mailalias speziell für DMARC Mails anzulegen und per Sieve-Filter direkt auf dem Server vorzufiltern um diese DMARC Mails in einen separaten Ordner meines Mailaccounts zu schieben? Wie handhabt ihr dies?

Freue mich über Feedback!

Hi cltrmx , ich setze schon seit vielen Jahren den Conrad Charge Manager 2016 ein (mikroprozessorgesteuert, kann AA/AAA und noch die beiden anderen Formate aus dem Foto , diverse Lade- und Entladeprogramme, 4 Schächte, ...). Ich weiss nicht, ob der noch produziert wird, bei eBay & Co. ist er wahrscheinlich relativ günstig zu bekommen.

Das Teil ist ein super Arbeitstier und leistet mir wie gesagt schon lange gute Dienste. Selbst Uralt-Akkus konnte ich damit wiederbeleben, man kann neben Automatik auch den Lade- und Entladestrom manuell einstellen. Wäre meine persönlich Empfehlung, wenn Dir 4 Slots reichen.

Danke tab , KB19 . Alles klar, weiss ich Bescheid. Der Supportaufwand bei IPv6 wäre tatsächlich plausibel, stimmt. Nun ja, werde ich mich die Tage mal drum kümmern dann auch die IPv6 Records anzulegen. Schaden kann es nicht.

Ihr habt mir alle geholfen, Danke noch mal für Euren Support!

Zitat von KB19

AAAA-Records kannst Du bei Bedarf selbst hinzufügen, die IPv6-Adresse des Webservers findest Du unter "Produkte" im CCP. Das wäre wie mit den A-Records, also einmal für @ und einmal für *.

Danke Dir KB19 ! Ich will nicht zu sehr offtopic/IPv6 abdriften, aber gibt es einen Grund warum bei netcup die IPv6 Records nicht per default mit angelegt werden und der User das bei Bedarf manuell separat machen muss? Und letzte Frage dazu: habe ich irgendeinen Benefit aus Seitenbetreibersicht, wenn ich IPv6 enabled habe? Oder würde das nur theoretisch "bessere Konnektivität" für manche Seitenbesucher bedeuten?

Ganz lieben Dank RAD750 für Dein Feedback! Dann können in meinem Fall tatsächlich auch der FQDN für den Mailserver und der autoconfig CNAME raus ... wird bei mir beides nicht benötigt. Bleibt am Ende dann "nur" noch der A-Record für den netcup Webserver (einmal für Domain, einmal für Subdomain). Passt.

Eine Frage am Rand: ich bin von Host Europe zu netcup gewechselt. Bei HE hatte ich neben den IPv4 A-Records noch IPv6 AAAA-Records für den Webserver. Bei netcup scheint das aber nicht der Fall zu sein: ich habe nach "Domain hinzufügen" im netcup CCP nur die beiden IPv4 A-Records bekommen. Nutzt netcup (noch?) kein IPv6? Oder hängt das evtl. mit meinem Webhost Paket (1000) zusammen?

Hallo liebe Community,

netcup Neukunde hier. Ich habe meine kleine (statische) Seite zu netcup gezogen und meine zugehörige externe Domain auch über den notwendigen Prozess im CCP hinzugefügt. Ich habe hierfür alle notwendigen DNS Einträge einmalig bei meinem Registrar (Namecheap) vorgenommen und alles funktioniert soweit auch.

Meine Email mit meiner eigenen Domain möchte ich jedoch nicht bei netcup hosten, sondern habe diese bei Mailbox.org hinzugefügt, was auch wunderbar funktioniert. Die MX-Einträge habe ich hierfür angepasst, so dass bei netcup ausschließlich meine kleine Seite gehostet ist - mehr nicht.

Ich möchte nun noch meine restlichen DNS-Einträge aufräumen, die ich initial ja alle auf netcup zeigen lassen musste, damit ich meine externe Domain hinzufügen konnte.

Die 4 Einträge, bei denen ich mir nicht sicher bin wofür sie sind (und ob ich sie mit meinem beschriebenen Szenario löschen kann) sind im Screenshot zu sehen - vielleicht kann mir jemand auf die Sprünge helfen:

1. A-Record für Host "mail": den "webmail" Hosteintrag habe ich bereits gelöscht. Wofür ist der "mail" Host Eintrag?
2. CNAME "autoconfig": wofür wird der autoconfig Eintrag gebraucht?
3. und 4. die beiden CNAME Domainkeys: ich muss für meine eigene Domain laut der Mailbox.org Anleitung die Mailbox.org DKIM Domainkeys setzen ... sehe ich das richtig, dass ich die beiden Domainkeys für netcup löschen kann, wenn ich nichts mit EMail bei netcup hoste?

Lieben Dank im Voraus!