SMTP: 554 5.7.1 Relay access denied

daniele@mikweb: ~/errors — less smtp-554-5-7-1-relay-access-denied.md

Come appare il messaggio

postfix/smtpd[2210]: NOQUEUE: reject: RCPT from client.example.net[203.0.113.20]: 554 5.7.1 <user@example.org>: Relay access denied; from=<me@example.com> to=<user@example.org> proto=ESMTP helo=<client>

Cause frequenti

Il client di posta o l'app non si autentica, oppure usa la porta 25 dove il login non è offerto. Usa la porta submission 587 con login.
In smtpd_relay_restrictions manca permit_sasl_authenticated, quindi anche gli utenti autenticati vengono rifiutati.
Il dominio del destinatario è tuo, ma non è elencato in virtual_mailbox_domains, mydestination o relay_domains.
L'host mittente è una macchina interna fidata, ma il suo indirizzo non è in mynetworks.
Un errore di battitura nel dominio del destinatario, o un record MX che punta a questo server per un dominio che non deve servire.

Verifica

Regole di relay e destinatari in vigore
postconf -n | grep -E 'smtpd_relay_restrictions|smtpd_recipient_restrictions|mynetworks'
Quali domini accetta questo server?
postconf -n | grep -E 'mydestination|virtual_mailbox_domains|virtual_alias_domains|relay_domains'
Il login è attivo sul servizio submission?
postconf -P submission/inet/smtpd_sasl_auth_enable
I rifiuti nel log
journalctl -u postfix --since '1 hour ago' --no-pager | grep 'Relay access denied' | tail -n 10

Soluzione

Fai inviare i tuoi utenti dalla porta 587 con STARTTLS e login, non dalla porta 25 senza login.
Consenti gli utenti autenticati: smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination e attiva smtpd_sasl_auth_enable = yes sul servizio submission in master.cf.
Se il dominio destinatario deve essere consegnato qui, aggiungilo a virtual_mailbox_domains (o mydestination), ma solo a uno dei due, poi postfix reload.
Per un host interno fidato aggiungi a mynetworks solo quel suo indirizzo. Mai intervalli ampi o 0.0.0.0/0.
Invia di nuovo una mail di prova e verifica che la riga di log sia sparita.

Domande frequenti

Vuol dire che il mio server è un open relay?

No, il contrario. Il messaggio è la protezione che funziona. Devi intervenire solo se vengono rifiutati i tuoi utenti o il tuo dominio.

Perché succede solo con alcuni destinatari?

La posta verso i tuoi domini viene accettata, quella verso altri domini richiede autenticazione. Quindi i destinatari locali passano e quelli esterni ricevono l'errore finché il client non fa login.

daniele@mikweb: ~/blog — ls

Mail nello spam: SPF, DKIM e allineamento DMARC spiegatiSPF, DKIM e DMARC spiegati semplice: cosa verifica ognuno, perché la mail va nello spam anche con SPF valido, come leggere gli header — con tabella.

daniele@mikweb: ~/errors — ls

450 4.1.8 Sender address rejected: Domain not foundSMTP: 450 4.1.8 Sender address rejected: Domain not found mail for example.com loops back to myselfPostfix: mail for example.com loops back to myself 550 5.4.1 Recipient address rejected: Access deniedSMTP: 550 5.4.1 Recipient address rejected: Access denied 550 5.7.1SMTP 550 5.7.1: relay access denied e rifiuti per policy not accepted due to domain's DMARC policy550 5.7.1 Unauthenticated email is not accepted due to domain's DMARC policy dkim=fail body hash did not verifyDKIM: dkim=fail (body hash did not verify)