Il tuo server di posta è un open relay

Cosa significa

Un server di posta ha due compiti normali: accettare le email per i tuoi domini e inviare le email dei tuoi utenti dopo che hanno effettuato l'accesso. Un open relay fa una terza cosa: accetta email da chiunque, verso chiunque, e le inoltra. Gli spammer scansionano continuamente internet in cerca di questi server e li usano per inviare enormi volumi a tuo nome.

Perché è importante

• Il tuo IP viene aggiunto rapidamente alle blacklist, e poi vengono rifiutate anche le tue email normali.
• Il tuo hosting può sospendere il server per abuso.
• Le risorse e la banda del tuo server vengono usate da sconosciuti.

Come verificare

• Guarda la tua coda di posta. Una coda grande piena di email che non hai inviato è un segnale forte. In Postfix: mailq.
• Leggi /var/log/mail.log in cerca di mittenti sconosciuti che inviano a molti indirizzi esterni.
• Controlla il tuo IP su /blacklists.
• Fai un test da un'altra macchina fuori dalla tua rete. Connettiti con telnet mail.yourdomain.com 25, poi digita:

  HELO test.example.com
  MAIL FROM:<someone@example.com>
  RCPT TO:<someone-else@example.org>

  Un server sicuro rifiuta l'ultima riga con un errore come 554 5.7.1 Relay access denied o 454 4.7.1. Se risponde 250, è un open relay. Digita QUIT senza inviare nulla.

Come risolvere

Postfix

1. Limita le reti fidate al server stesso in /etc/postfix/main.cf:

   mynetworks = 127.0.0.0/8 [::1]/128

   Non mettere mai qui 0.0.0.0/0 o un'ampia fascia pubblica.
2. Permetti il relay solo alle reti fidate e agli utenti autenticati:

   smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination

3. Assicurati che relay_domains elenchi solo i domini che gestisci davvero.
4. Ricarica: postfix reload.

Altri server

Exim, Exchange, hMailServer e altri seguono la stessa idea con nomi diversi: cerca "relay", "IP consentiti" o "reti fidate" e permetti solo agli utenti autenticati e a localhost.

Controlla anche gli account rubati

A volte il server non è aperto, ma la password di una casella è stata rubata e lo spam viene inviato con un accesso reale. Il log mostra allora un nome utente accanto a ogni spam. Cambia quella password, controlla che nessun account abbia password deboli, e valuta strumenti come fail2ban che bloccano i tentativi di accesso ripetuti. Anche vecchi script del sito web o moduli di contatto possono essere sfruttati per inviare spam.

Fai pulizia

1. Rimuovi lo spam dalla coda. In Postfix, postsuper -d ALL deferred elimina i messaggi in attesa; controlla bene che non ci siano email vere in attesa.
2. Controlla di nuovo il tuo IP su /blacklists e chiedi la rimozione da ogni lista una volta risolto il problema. Gli strumenti di rimozione dalle blacklist della dashboard a pagamento possono aiutarti a seguire la cosa.

Verifica che sia risolto

Ripeti il test telnet dall'esterno: la riga RCPT verso un indirizzo esterno deve essere rifiutata. Poi invia un'email normale da un account reale al tuo indirizzo di test nella home page (/) per confermare che l'invio legittimo funziona ancora e che non viene segnalata alcuna blacklist.