SMTP 535 5.7.8: authentication failed, login rifiutato

Come appare il messaggio

535 5.7.8 Error: authentication failed: authentication failure

Cause frequenti

• Password sbagliata, oppure cambiata e il client usa ancora quella vecchia.
• Nome utente nel formato sbagliato: indirizzo completo invece della parte locale o viceversa (auth_username_format).
• Gmail/Google Workspace con 2FA: password normale invece di una password per app.
• Microsoft 365: SMTP AUTH disattivato per la casella (lì di solito come 535 5.7.139).
• Il socket di auth di Dovecot per Postfix manca o ha permessi errati.

Verifica

1. Mostra gli errori SASL di Postfix e Dovecot
   journalctl -u postfix -u dovecot --since '30 min ago' | grep -iE 'sasl|auth'Copia
2. Prova il login direttamente su Dovecot (chiede la password)
   doveadm auth test -x service=smtp info@example.comCopia
3. Controlla come Postfix passa l'autenticazione a SASL
   postconf smtpd_sasl_type smtpd_sasl_path smtpd_sasl_auth_enableCopia
4. Mostra meccanismi di auth e socket in Dovecot
   doveconf -n | grep -E 'auth_mechanisms|auth_username_format|unix_listener'Copia

Soluzione

• Reinserisci la password nel client e verificala con doveadm auth test.
• Usa il nome utente esattamente come lo vuole la passdb, di solito l'indirizzo completo.
• Con Google crea una password per app; con Microsoft 365 attiva SMTP AUTH sulla casella o passa a OAuth.
• Per Postfix imposta auth_mechanisms = plain login e crea il socket /var/spool/postfix/private/auth con user = postfix.
• Tanti 535 dallo stesso IP sono brute force: attiva fail2ban per Postfix SASL.

Domande frequenti

Che differenza c'è tra 535 5.7.8 e 535 5.7.3?

Entrambi indicano un login fallito. 5.7.8 sta per credenziali non valide, 5.7.3 è usato da Exchange quando l'autenticazione non è consentita. Le verifiche sono le stesse.

Perché IMAP funziona e SMTP no?

IMAP parla direttamente con Dovecot, SMTP passa da Postfix e dal socket SASL. Se il socket manca o il meccanismo non coincide, si rompe solo l'invio.