ls ~/errors
Fehlercode-Lexikon.
Die Meldungen, die im Support immer wieder auftauchen — was sie bedeuten, wie Sie sie prüfen und was hilft.
550 5.7.1SMTP 550 5.7.1: Relay access denied und Policy-AblehnungDer Server lehnt die Mail aus Richtliniengründen ab – meist, weil der Absender nicht authentifiziert ist und der Server die Mail an eine fremde Domain weiterleiten (relayen) müsste.550 5.7.26SMTP 550 5.7.26 und 5.7.23: Mail nicht authentifiziertGmail (und ähnlich Microsoft mit 5.7.509/5.7.515) lehnt die Mail ab, weil sie weder per SPF noch per DKIM passend zur Absenderdomain authentifiziert ist.421 4.7.0SMTP 421 4.7.0: Vorübergehend gedrosselt (try again later)Der Empfangsserver nimmt vorübergehend keine weiteren Mails von Ihrer IP an, weil Volumen, Reputation oder Authentifizierung auffällig sind – die Mails bleiben in der Queue und werden später erneut versucht.554 5.7.1SMTP 554 5.7.1: Abgelehnt wegen Blocklist oder SpamDer Empfänger lehnt die Verbindung oder Mail dauerhaft ab, weil die sendende IP auf einer DNS-Blocklist (DNSBL) steht oder der Inhalt als Spam eingestuft wurde.451 4.7.1SMTP 451 4.7.1: Greylisting und vorübergehende AblehnungDer Empfänger lehnt den ersten Zustellversuch eines unbekannten Absenders bewusst vorübergehend ab; ein korrekt arbeitender Mailserver liefert nach einigen Minuten erneut ein.535 5.7.8SMTP 535 5.7.8: Authentication failed – Anmeldung abgelehntDer Server hat die SMTP-AUTH-Anmeldung abgelehnt. Die Verbindung steht, aber Benutzername, Passwort oder Anmeldeverfahren passen nicht zu dem, was das Backend (meist Dovecot SASL) erwartet.530 5.7.0SMTP 530 5.7.0: Must issue a STARTTLS command firstDer Server akzeptiert auf diesem Port weder AUTH noch MAIL FROM über eine unverschlüsselte Verbindung. Der Client muss zuerst STARTTLS senden oder direkt TLS auf Port 465 nutzen.552 5.2.2SMTP 552 5.2.2: Mailbox full / Quota exceededDer Empfangsserver nimmt die Mail nicht an, weil das Postfach des Empfängers sein Quota-Limit erreicht hat. Der Absender bekommt einen Bounce, die Mail ist nicht zugestellt.550 5.1.1SMTP 550 5.1.1: User unknown / Recipient address rejectedDer Zielserver kennt die Empfängeradresse nicht und lehnt die Mail endgültig ab. Entweder ist die Adresse falsch oder sie fehlt in den Tabellen des Servers.553 5.7.1SMTP 553 5.7.1: Sender address rejected: not owned by userPostfix vergleicht die Absenderadresse (MAIL FROM) mit dem angemeldeten SASL-Benutzer. Gehört die Adresse laut smtpd_sender_login_maps nicht zu diesem Benutzer, wird die Mail abgelehnt.does not resolve to addressPostfix-Warnung: hostname … does not resolve to addressPostfix hat zur IP des verbindenden Servers per PTR einen Namen gefunden, dieser Name zeigt aber nicht zurück auf dieselbe IP. Der Client gilt dann als „unknown“.auth failedDovecot: imap-login Disconnected (auth failed)Ein Client hat sich bei IMAP oder POP3 angemeldet und wurde abgewiesen. Das kann ein einzelner Benutzer mit falschem Passwort sein, eine fehlerhafte passdb oder ein Angriff.502HTTP 502 Bad Gateway mit nginx und PHP-FPMnginx konnte vom Upstream (PHP-FPM, Node.js, Gunicorn, Docker-Container) keine gültige Antwort bekommen – der Backend-Dienst läuft nicht, ist nicht erreichbar oder ist abgestürzt.504HTTP 504 Gateway Timeout mit nginxnginx hat das Backend erreicht, aber innerhalb des eingestellten Timeouts (Standard 60 Sekunden) keine Antwort bekommen.413HTTP 413 Request Entity Too Large bei nginxDer Request-Body (meist ein Upload) ist größer als das Limit, das nginx oder ein vorgeschalteter Proxy erlaubt – die Anfrage erreicht die Anwendung gar nicht.403HTTP 403 Forbidden (nginx): directory index is forbiddennginx kennt den Benutzer bzw. die Anfrage, verweigert aber den Zugriff. Der genaue Grund steht fast immer im error.log – „directory index … is forbidden“, „Permission denied“ oder „access forbidden by rule“.500HTTP 500 Internal Server Error: Ursache in den Logs findenDie Anwendung oder der Webserver ist beim Verarbeiten der Anfrage gescheitert. Der Statuscode sagt nichts über den Grund – der steht im error.log von nginx, im PHP-FPM-Log oder im Log der Anwendung.503HTTP 503 Service Unavailable: wer liefert den Fehler?Der Dienst ist vorübergehend nicht verfügbar. Zuerst klären, wer den 503 erzeugt: nginx selbst (Rate-Limit, return 503), die Anwendung (Wartungsmodus) oder ein vorgeschalteter Load Balancer.400400 Bad Request: Request Header Or Cookie Too LargeEin einzelner Request-Header oder die Cookie-Zeile ist größer als der Puffer, den nginx dafür reserviert. Standard sind 4 Puffer à 8 KB – große SSO-Cookies oder JWTs sprengen das schnell.too big headernginx: upstream sent too big header while reading response headerDie Antwort-Header des Backends (meist Cookies) sind größer als der Puffer, den nginx dafür reserviert hat; nginx bricht ab und liefert 502 Bad Gateway.Primary script unknownnginx + PHP-FPM: „Primary script unknown“ / „File not found.“nginx reicht die Anfrage an PHP-FPM weiter, aber PHP-FPM findet unter dem übergebenen Pfad keine Datei oder darf sie nicht lesen. Im Browser erscheint nur „File not found.“.111: Connection refusednginx: connect() failed (111: Connection refused) to upstreamnginx erreicht den Backend-Host, aber auf dem Zielport lauscht niemand. Das Betriebssystem lehnt die Verbindung sofort ab, der Benutzer sieht 502 Bad Gateway.423 LockedNextcloud: „File is locked“ und HTTP 423 LockedNextcloud verweigert den Zugriff, weil für die Datei noch eine Sperre im Transactional File Locking existiert – meist eine verwaiste Sperre nach einem abgebrochenen Upload oder Absturz.maintenance modeNextcloud: „Maintenance mode is enabled“ behebenNextcloud ist im Wartungsmodus und blockiert Web, Clients und die meisten occ-Befehle – entweder bewusst gesetzt oder nach einem Update, das nicht sauber abgeschlossen wurde.untrusted domainNextcloud: Zugriff über eine nicht vertrauenswürdige DomainNextcloud wurde über einen Hostnamen oder eine IP aufgerufen, die nicht in trusted_domains steht, und verweigert deshalb die Anmeldung.data directory readableNextcloud: „Your data directory is readable by other users“Nextcloud prüft beim Start, ob andere Systembenutzer das Datenverzeichnis lesen oder auflisten können. Ist das der Fall, verweigert Nextcloud den Betrieb bzw. zeigt die Warnung.Internal Server ErrorNextcloud: Internal Server Error mit Request IDNextcloud ist beim Verarbeiten der Anfrage auf einen Fehler gestoßen. Die angezeigte Request ID ist der Schlüssel: Mit ihr finden Sie im nextcloud.log genau den zugehörigen Eintrag.CSRF check failedNextcloud: CSRF check failed beim Login oder SpeichernDas CSRF-Token im Formular passt nicht zur Session auf dem Server. Fast immer ist die Session zwischen Laden und Absenden verloren gegangen – nicht ein Angriff.APCu not availableNextcloud: Memcache \OC\Memcache\APCu not available for local cacheNextcloud ist auf APCu als lokalen Cache konfiguriert, aber die PHP-Instanz, die gerade läuft, hat APCu nicht aktiv. Fast immer betrifft das nur PHP-CLI – also occ und cron.php.missing indexesNextcloud: „The database is missing some indexes“Nach einem Update hat Nextcloud neue Indizes definiert, sie aber nicht automatisch angelegt, weil das auf großen Tabellen lange dauern kann. Ohne sie werden Abfragen langsam.Last background jobNextcloud: „Last background job execution ran … ago“Nextcloud führt Aufräumarbeiten, Benachrichtigungen, Dateiversionen und Papierkorb über Hintergrundjobs aus. Die Warnung heißt: Diese Jobs liefen schon länger nicht mehr.SAML signatureSAML-Fehler: Signature validation failed in NextcloudNextcloud (user_saml mit php-saml) konnte die Signatur der SAML-Antwort mit dem hinterlegten IdP-Zertifikat nicht verifizieren und lehnt den Login ab.invalid_grantOIDC/OAuth2: invalid_grant am Token-EndpointDer Identity Provider lehnt den Authorization Code oder Refresh Token ab, den der Client eintauschen will. Der Login scheitert direkt nach der Rückleitung vom IdP.redirect_uri_mismatchOIDC: redirect_uri_mismatch / Invalid redirect_uriDer Client schickt im Authorize-Request eine redirect_uri, die beim Identity Provider nicht exakt so registriert ist. Der IdP bricht ab, bevor sich der Benutzer anmelden kann.NotBeforeSAML: „not yet valid“ – Clock Skew bei NotBeforeJede SAML-Assertion ist nur in einem Zeitfenster gültig (NotBefore bis NotOnOrAfter). Weicht die Uhr des Service Providers von der des IdP ab, gilt die Assertion als noch nicht oder nicht mehr gültig.acme:error:unauthorizedLet's Encrypt: urn:ietf:params:acme:error:unauthorizedLet's Encrypt konnte die Challenge-Datei unter /.well-known/acme-challenge/ nicht vom richtigen Server abrufen und verweigert deshalb das Zertifikat.unable to get local issuer certificateSSL: unable to get local issuer certificateDer Client kann die Kette vom Serverzertifikat bis zu einer vertrauenswürdigen Root-CA nicht aufbauen. Entweder schickt der Server die Zwischenzertifikate nicht mit, oder dem Client fehlt die Root-CA.SSL_ERROR_RX_RECORD_TOO_LONGSSL_ERROR_RX_RECORD_TOO_LONG in FirefoxDer Browser erwartet auf Port 443 einen TLS-Handshake, bekommt aber Klartext, meist eine HTTP-Antwort. Firefox interpretiert diese Bytes als viel zu langen TLS-Record und bricht ab.ERR_CERT_COMMON_NAME_INVALIDNET::ERR_CERT_COMMON_NAME_INVALIDDas Zertifikat ist gültig, aber nicht für diesen Namen ausgestellt. Browser prüfen ausschließlich die Subject Alternative Names (SAN) – fehlt der aufgerufene Hostname dort, kommt dieser Fehler.certificate has expiredSSL: certificate has expired / ERR_CERT_DATE_INVALIDDas ausgelieferte Zertifikat ist außerhalb seiner Gültigkeit. Oft wurde es längst erneuert, aber der Webserver liefert noch die alte Datei aus dem Speicher.rateLimitedLet's Encrypt: too many certificates already issuedLet's Encrypt begrenzt, wie viele Zertifikate in einem Zeitraum ausgestellt werden. Die Fehlermeldung nennt das betroffene Limit und den Zeitpunkt, ab dem es wieder geht („retry after“).SERVFAILDNS SERVFAIL: Ursache finden und behebenDer Resolver konnte keine gültige Antwort ermitteln – entweder weil die autoritativen Nameserver nicht sauber antworten oder weil die DNSSEC-Validierung fehlschlägt.NXDOMAINDNS NXDOMAIN: Domain oder Hostname existiert nichtDer zuständige Nameserver hat verbindlich geantwortet, dass es diesen Namen nicht gibt. Das ist etwas anderes als SERVFAIL oder ein Timeout – die Frage ist, welcher Server das behauptet und warum.CNAME at apexDNS: CNAME an der Apex – „CNAME and other data“Ein CNAME darf nicht neben anderen Records desselben Namens stehen. An der Zonen-Apex (example.com) gibt es aber immer SOA und NS – deshalb ist dort kein CNAME erlaubt.ENOSPCNo space left on device, obwohl df freien Speicher zeigtDer Kernel meldet ENOSPC, weil eine Ressource des Dateisystems erschöpft ist – nicht zwingend der Speicherplatz, sondern oft die Inodes oder Platz, der von gelöschten, noch offenen Dateien belegt wird.Permission denied (publickey)SSH: Permission denied (publickey)Der Server erlaubt nur Schlüssel-Anmeldung und hat keinen der angebotenen Schlüssel akzeptiert. Die Ursache steht im Client mit -vvv und im Server-Log.EROFSLinux: Read-only file system (EROFS)Ein Schreibzugriff wurde abgelehnt, weil das Dateisystem nur lesbar ist. Oft hat der Kernel es nach einem Fehler selbst umgeschaltet, um weiteren Schaden zu verhindern.EMFILELinux: Too many open files (EMFILE, Fehler 24)Ein Prozess hat sein Limit an Dateideskriptoren erreicht. Dazu zählen Dateien, aber auch Sockets und Pipes – bei Webservern also vor allem offene Verbindungen.Out of memoryLinux: Out of memory – Killed process (OOM Killer)Dem System oder einer cgroup ging der Arbeitsspeicher aus. Der Kernel hat deshalb den Prozess mit der höchsten OOM-Bewertung beendet – nicht unbedingt den, der das Problem verursacht hat.control process exitedsystemd: Job for X.service failed (control process exited)systemd hat versucht, den Dienst zu starten oder neu zu laden, und der Startbefehl (ExecStart oder ExecStartPre) hat mit Fehler geendet. Die eigentliche Ursache steht im Journal des Dienstes.