Google Workspace SMTP-Relay „550 5.7.0 Mail relay denied“: so behebst du es

Was das bedeutet

Der SMTP-Relay-Dienst von Google Workspace (smtp-relay.gmail.com) lässt deine eigenen Server, Apps und Geräte E-Mails über Google senden. Google muss zuerst wissen, dass die Verbindung zu deiner Workspace-Organisation gehört. Kann es die Verbindung nicht deinem Konto zuordnen, lehnt es mit einer Meldung ab, die meist so aussieht:

550-5.7.0 Mail relay denied [203.0.113.10]. Invalid credentials for
550-5.7.0 relay for one of the domains in: yourdomain.com (as obtained
550-5.7.0 from HELO and MAIL FROM). Email is being sent from a domain
550-5.7.0 or IP address which isn't registered in your Workspace account.
550-5.7.0 Please login to your Workspace account and verify that your
550-5.7.0 sending device is properly registered.

Google erkennt dich auf zwei Wegen: an der IP-Adresse der Verbindung (wenn du sie in der Relay-Einstellung eingetragen hast) oder per SMTP-Authentifizierung mit einem Workspace-Benutzer. Dann nutzt es die Domain in der HELO/EHLO-Begrüßung und im Envelope-Absender (MAIL FROM), um deine Organisation zu finden.

Warum das passiert

• Der Relay-Dienst ist nicht eingerichtet in der Admin-Konsole, oder die Änderung greift noch nicht (laut Google bis zu 24 Stunden).
• Die IP passt nicht. In der Einstellung steht eine IP, dein Server geht aber über eine andere raus: NAT, ein neuer VPS, ein Cloud-Anbieter mit wechselnden IPs oder IPv6 statt IPv4.
• Schlechter HELO-Name. Der Server meldet sich mit EHLO localhost oder einem internen Namen wie ip-10-0-0-5.ec2.internal, daher kann Google ihn nicht mit deiner Domain verknüpfen. Siehe ungültiger HELO/EHLO-Hostname.
• Die Absenderdomain ist nicht in deinem Workspace-Konto, zum Beispiel eine App, die als alerts@otherdomain.com sendet.
• „Allowed senders“ ist zu streng: „Only registered Apps users in my domains“ verlangt, dass der Absender ein bestehender Benutzer ist, daher scheitert noreply@yourdomain.com ohne Postfach.
• Authentifizierung verlangt, aber nicht gesendet, oder ohne TLS gesendet.

Das ist etwas anderes als ein normaler Benutzer, der sich bei smtp.gmail.com anmeldet; für diese Login-Fehler siehe Gmail SMTP „535-5.7.8 Username and Password not accepted“.

So prüfst du es

1. Finde die echte öffentliche IP des sendenden Servers, direkt auf dem Server:

   curl -4 https://ifconfig.me
   curl -6 https://ifconfig.me

   Liefert der zweite Befehl eine Adresse, verbindet sich dein Server eventuell über IPv6 mit Google.
2. Sieh dir den HELO-Namen und den Austausch mit Google an:

   swaks --server smtp-relay.gmail.com:587 --tls \
     --ehlo mail.yourdomain.com \
     --from app@yourdomain.com --to you@example.com

3. Geh in der Admin-Konsole zu Apps > Google Workspace > Gmail > Routing und öffne die Einstellung SMTP relay service. Vergleiche IP-Liste, erlaubte Absender und Authentifizierungsoptionen mit dem, was du herausgefunden hast.
4. Prüfe die sendende IP auf den Blacklists von Delivmail und schlag ihren Inhaber per Whois nach, wenn du nicht sicher bist, zu welchem Netz sie gehört.

So behebst du es

1. Richte die Relay-Einstellung ein (oberste Organisationseinheit, Admin-Rechte für Gmail-Einstellungen nötig):
   • Allowed senders: „Only addresses in my domains“ funktioniert für die meisten Apps und Geräte; es braucht kein Postfach pro Adresse. Vermeide „Any addresses“.
   • Authentication: Aktiviere „Only accept mail from the specified IP addresses“ und füge die öffentliche IP deines Servers hinzu (halte den Bereich klein) und/oder „Require SMTP Authentication“.
   • Aktiviere „Require TLS encryption“, wenn dein Server TLS unterstützt.
2. Nutze einen sauberen HELO-Namen, der zu einer deiner Workspace-Domains gehört. Beispiel für Postfix:

   relayhost = [smtp-relay.gmail.com]:587
   smtp_helo_name = mail.yourdomain.com
   smtp_tls_security_level = encrypt
   # force IPv4 if only an IPv4 address is registered
   smtp_address_preference = ipv4

3. Oder authentifiziere dich mit einem Workspace-Benutzer über TLS (Port 587 mit STARTTLS oder 465). Dann identifizieren die Zugangsdaten des Benutzers deine Domain. Das Konto braucht einen gültigen Anmeldeweg (es gelten dieselben Regeln für OAuth oder App-Passwörter wie bei normalem SMTP).
4. Nutze einen Absender aus deinen Domains: Setze Envelope-Absender und From auf eine Adresse einer Domain, die in deinem Workspace-Konto ist. Musst du für eine andere Domain senden, füge sie in Workspace als sekundäre Domain oder Alias-Domain hinzu.
5. Warte, bis die Änderung greift, und versuch es dann erneut.

Das Relay über Google signiert nicht mit deinem DKIM, solange DKIM für die Domain in Workspace nicht eingeschaltet ist; siehe SPF, DKIM und DMARC für Google Workspace. Dein SPF muss außerdem _spf.google.com enthalten.

Prüfe, ob es behoben ist

Sende über das Relay eine Nachricht an die einmalige Adresse auf der Startseite von Delivmail. Kommt sie an, hat das Relay dich akzeptiert. Im Bericht sollte SPF für die Server von Google bestehen, DKIM mit deiner Domain signiert sein und DMARC bestehen. Sende dann die ursprüngliche Nachricht erneut. Bekommst du stattdessen eine Ablehnung, die Relay-Limits erwähnt, bist du über diesen Fehler hinaus und an ein Kontingent gestoßen.