Hallo zusammen,
ich betreibe seit Jahren einen eigenen Mailserver mit ein paar Domains, soweit so unspektakulär. Alle paar Monate bekam ich über den DMARC-Report Rückmeldung, daß eine dkim Signatur kaputt war. Die Mails waren von mir, das war klar, aber in keinem Fall konnte ich den Fehler genauer Eingrenzen bis heute. Ich habe über einige Zeit jeder ausgehende Mail vom Relay als bcc zurückschjcken lassen, um zu prüfen, ob das Problem bei mir liegt. Denn ursprünglich war der Ansatz, das Probleme läge bei Microsoft, über Monat trat es nur dort auf obwohl prozentual mehr Ziele auf andere Anbieter verteilen.
Das Problem war, daß SMTP eine maximale Zeilenlänge bei 1000 Zeichen (inkl. crlf) hat und bei Codierung als 8bit / utf-8 diese Zeilenlänge überschritten werden kann. Postfix bricht dann um, am Ziel sieht man nichts, aber die Signatur ist kaputt.
Struktur ist bei mir so:
A - Hauptserver, versendet lokal, signiert, empfängt Mails aus dem Internet
A schickt alles an ein Relay B
B versendet ins Internet, der direkte Versand von A wäre der Fallback.
Die Gegenrichtung geht normalerweise direkt an A, B könnte aber auch Mails empfangen und an A leiten.
Der Grund ist, daß es 1. historisch so gewachsen ist und 2. auch andere Server über B raussenden und die IP-Reputation entsprechend gut ist, keine rbl etc.
Also mir ist klar, wenn B signieren würde, was ich heute mal getestet habe, dann klappt es natürlich, aber ich würde ungerne meine Config umbauen, die so absolut stabil läuft.
Wie machen es andere?
Das Zeilenlimit von Postfix hochzudrehen würde ins Internet nicht klappen, SMTP kennt so tolle Fehlermeldungen aus dem 500er Bereich, wäre also doof. Normal senden auch alle Clients quote-printable mit frühem Umbruch, daher trat der Fehler nur sporadisch auf.
Ich signiere mit rspamd, das ist als Milter in Postfix eingebunden, der übernimmt in Gegenrichtung auch das Spamfiltern.
System ist Debian Trixie, postfix 3.10.x, rspamd 4.1.x, dovecot 2.4.x
Grüße.