Postfix „553 5.7.1 Sender address rejected: not owned by user“: so behebst du es

Was das bedeutet

Dein Postfix-Server prüft, ob die angemeldete Person mit der verwendeten Absenderadresse senden darf. Darf sie es nicht, lehnt er die Nachricht ab:

553 5.7.1 <info@yourdomain.com>: Sender address rejected: not owned by user john@yourdomain.com

Eine verwandte Meldung erscheint, wenn jemand eine deiner Adressen ganz ohne Anmeldung verwendet:

553 5.7.1 <info@yourdomain.com>: Sender address rejected: not logged in

Das ist ein Schutz, kein Fehler: Er verhindert, dass ein Benutzer (oder ein gestohlenes Passwort) als eine andere Person sendet. Die Lösung ist, Postfix mitzuteilen, wer welche Adresse benutzen darf, oder mit dem richtigen Konto zu senden.

Warum das passiert

Die Prüfung kommt von der Einschränkung reject_sender_login_mismatch (oder ihren Varianten reject_authenticated_sender_login_mismatch und reject_known_sender_login_mismatch). Sie vergleicht zwei Dinge:

• den Envelope-Absender (die MAIL FROM-Adresse, die das Mailprogramm angibt, nicht immer der sichtbare From-Header), und
• den Anmeldenamen, der für die SMTP-Authentifizierung verwendet wurde.

Postfix sucht den Absender in der Tabelle, die mit smtpd_sender_login_maps festgelegt ist. Steht die Anmeldung dort nicht als Besitzer, lehnt er ab. Typische Situationen:

• Ein Benutzer sendet von einer gemeinsamen oder Alias-Adresse (info@, sales@), die nicht seiner Anmeldung zugeordnet ist.
• Eine Website, ein Drucker oder ein Skript meldet sich mit einem Konto an, sendet aber als eine andere Adresse.
• Der Anmeldename ist john, aber die Tabelle listet john@yourdomain.com (oder umgekehrt).
• Die Tabelle wurde bearbeitet, aber postmap wurde nicht ausgeführt, sodass Postfix noch die alte Version liest.
• Eine App setzt einen anderen Envelope-Absender (Bounce-Adresse) als die From-Adresse.

So prüfst du es

1. Lies das Mail-Log, um den genauen Absender und die Anmeldung zu sehen:

   grep "not owned by user" /var/log/mail.log | tail

2. Sieh dir die aktiven Einstellungen an:

   postconf smtpd_sender_login_maps smtpd_sender_restrictions
   postconf -M submission/inet

   Der zweite Befehl zeigt die -o-Überschreibungen des Submission-Dienstes (Port 587) in master.cf, wo diese Einschränkung oft gesetzt ist.
3. Frag die Tabelle direkt ab:

   postmap -q info@yourdomain.com hash:/etc/postfix/sender_login

   Das gibt die Anmeldungen aus, die für diese Adresse erlaubt sind, oder nichts.
4. Reproduziere es mit swaks:

   swaks --server mail.yourdomain.com:587 --tls \
     --auth LOGIN --auth-user john@yourdomain.com \
     --from info@yourdomain.com --to you@example.com

So behebst du es

Der Anmeldung die Adresse erlauben

Bearbeite die Tabelle für Absender-Anmeldungen, ein Absender pro Zeile, gefolgt von den erlaubten Anmeldungen, getrennt durch Kommas:

# /etc/postfix/sender_login
john@yourdomain.com     john@yourdomain.com
info@yourdomain.com     john@yourdomain.com, mary@yourdomain.com
@yourdomain.com         admin@yourdomain.com

Die letzte Zeile erlaubt admin@yourdomain.com, als jede Adresse der Domain zu senden; nutze das mit Vorsicht. Baue die Tabelle dann neu und lade neu:

postmap /etc/postfix/sender_login
systemctl reload postfix

Stelle sicher, dass main.cf darauf verweist:

smtpd_sender_login_maps = hash:/etc/postfix/sender_login

Liegen deine Benutzer in einer Datenbank (MySQL, PostgreSQL, LDAP), ist die Tabelle eine Abfrage; trag die Alias-Berechtigung dann dort ein. Control Panels und Mailserver-Pakete bieten das meist als „Senden als“- oder Alias-Berechtigung pro Postfach an.

Oder mit dem richtigen Konto anmelden

Bei einer Website oder einem Gerät ist die einfachste Lösung oft, sich mit dem Konto anzumelden, dem die Adresse gehört, oder ein Postfach für die Adresse anzulegen, von der gesendet wird.

Den Envelope-Absender von Apps korrigieren

Ist das sichtbare From richtig, zeigt das Log aber einen anderen Absender, setzt die App einen anderen Envelope-Absender. Stelle ihn auf eine Adresse, die der Anmeldung gehört (bei PHPMailer $mail->Sender; bei nodemailer die Option envelope). Siehe Return-Path, Envelope-Absender und From.

Die Einschränkung nicht einfach entfernen

Wenn du reject_sender_login_mismatch entfernst, verschwindet der Fehler, aber jeder Benutzer kann als jeder andere senden. Verwende bei Kontaktformularen außerdem nicht die Adressen der Besucher als Absender (siehe Kontaktformular-E-Mails „From“ dem Besucher gesendet). Lautet der Fehler stattdessen „Relay access denied“, siehe 554 5.7.1 Relay access denied.

Prüfe, ob es behoben ist

Führe denselben swaks-Befehl aus: Er sollte mit 250 2.0.0 Ok: queued enden. Sende dann aus der echten App oder dem Mailprogramm an die einmalige Adresse auf der Startseite von Delivmail und prüfe im Bericht, dass SPF, DKIM und DMARC für die Absenderadresse bestehen. Sende zum Schluss die abgelehnte Nachricht erneut.