SMTP: 554 5.7.1 Relay access denied

daniele@mikweb: ~/errors — less smtp-554-5-7-1-relay-access-denied.md

So sieht die Meldung aus

postfix/smtpd[2210]: NOQUEUE: reject: RCPT from client.example.net[203.0.113.20]: 554 5.7.1 <user@example.org>: Relay access denied; from=<me@example.com> to=<user@example.org> proto=ESMTP helo=<client>

Häufige Ursachen

Das Mailprogramm oder die App meldet sich nicht an oder nutzt Port 25, wo kein Login angeboten wird. Den Submission-Port 587 mit Login verwenden.
In smtpd_relay_restrictions fehlt permit_sasl_authenticated, daher werden auch angemeldete Nutzer abgelehnt.
Die Empfängerdomain gehört dir, steht aber nicht in virtual_mailbox_domains, mydestination oder relay_domains.
Der sendende Rechner ist ein vertrauter interner Host, seine Adresse steht aber nicht in mynetworks.
Ein Tippfehler in der Empfängerdomain oder ein MX-Eintrag, der auf diesen Server zeigt, obwohl er die Domain nicht bedienen soll.

Prüfen

Geltende Relay- und Empfängerregeln
postconf -n | grep -E 'smtpd_relay_restrictions|smtpd_recipient_restrictions|mynetworks'
Welche Domains nimmt dieser Server an?
postconf -n | grep -E 'mydestination|virtual_mailbox_domains|virtual_alias_domains|relay_domains'
Ist der Login am Submission-Dienst aktiv?
postconf -P submission/inet/smtpd_sasl_auth_enable
Die Ablehnungen im Log
journalctl -u postfix --since '1 hour ago' --no-pager | grep 'Relay access denied' | tail -n 10

Lösung

Deine Nutzer über Port 587 mit STARTTLS und Login senden lassen, nicht über Port 25 ohne Login.
Angemeldete Nutzer erlauben: smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination und smtpd_sasl_auth_enable = yes am Submission-Dienst in der master.cf aktivieren.
Soll die Empfängerdomain hier zugestellt werden, in virtual_mailbox_domains (oder mydestination) eintragen, aber nur in eines von beiden, dann postfix reload.
Für einen vertrauten internen Host nur dessen Adresse in mynetworks aufnehmen. Niemals große Bereiche oder 0.0.0.0/0.
Erneut eine Testmail senden und prüfen, dass die Logzeile weg ist.

Häufige Fragen

Heißt das, mein Server ist ein offenes Relay?

Nein, das Gegenteil. Die Meldung ist der Schutz bei der Arbeit. Du musst nur handeln, wenn deine eigenen Nutzer oder deine eigene Domain abgelehnt werden.

Warum passiert es nur bei manchen Empfängern?

Mail an deine eigenen Domains wird angenommen, Mail an andere Domains braucht eine Anmeldung. Lokale Empfänger gehen also durch, externe bekommen den Fehler, bis sich der Client anmeldet.

daniele@mikweb: ~/blog — ls

E-Mails landen im Spam: SPF, DKIM und DMARC-Alignment verständlich erklärtSPF, DKIM und DMARC einfach erklärt: was jedes prüft, warum Mails trotz SPF im Spam landen, wie man Header liest — mit Tabelle, Befehlen und Checkliste.

daniele@mikweb: ~/errors — ls

450 4.1.8 Sender address rejected: Domain not foundSMTP: 450 4.1.8 Sender address rejected: Domain not found mail for example.com loops back to myselfPostfix: mail for example.com loops back to myself 550 5.4.1 Recipient address rejected: Access deniedSMTP: 550 5.4.1 Recipient address rejected: Access denied 550 5.7.1SMTP 550 5.7.1: Relay access denied und Policy-Ablehnung not accepted due to domain's DMARC policy550 5.7.1 Unauthenticated email is not accepted due to domain's DMARC policy dkim=fail body hash did not verifyDKIM: dkim=fail (body hash did not verify)