Re: [FRnOG] [MISC] dgfip refusé par gmail

[Toussaint OTTAVI]

Le 04/03/2024 à 17:30, David Ponzone a écrit :

+1 sur l’outil de email-security-scans.org  
et merci.


+2. Cet outil est assez génial si on a compris qu'il faut attendre 48h 
pour avoir un résultat exhaustif ;-) Merci.


--
En premier niveau, il y a toujours le classique 
http://www.mail-tester.com/, qui fournit quasiment instantanément un 
diagnostic de base sur la délivrabilité.


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Gilou]

Le 29/02/2024 à 12:08, Stéphane Rivière a écrit :



Fantastique ...
C'est de la faute aux impôts. Quand ils mettront leurs mails chez le 
gougle, ça ira tout de suite mieux.


Je ricane, je viens d'activer mon adhésion à leur messagerie en ligne 
pour les impôts entreprise… Le truc t'envoie un courrier pour valider 
l'adhésion au service, mais pour l'activer, faut pas être loggé, sinon 
ça marche pas..


C'est beau.

Et pis cfspro.impots.gouv.fr on est quand même dans l'interface cloud 
12.0 :P


Et pis en fait ils répondent au mail, donc osef un peu… mais bon vu que 
nos impôts ont payé ce truc, je me dis que ça vaut le coup de le tester, 
je suis pas déçu du voyage…



@+
Gilou


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[David Ponzone]

Laurent,

+1 sur l’outil de email-security-scans.org  
et merci.
Ca prend du temps, mais le reporting est très exhaustif.

David

> Le 1 mars 2024 à 15:35, Laurent S. via frnog  a écrit :
> 
> On 29.02.24 13:57, Stephane Bortzmeyer wrote:
>> On Thu, Feb 29, 2024 at 11:16:59AM +0100,
>>  Alain Thivillon  wrote
>>  a message of 49 lines which said:
>> 
 https://mxtoolbox.com/SuperTool.aspx?action=dkim%3adgfip.finances.gouv.fr%3aemail=toolpage
 
 
>>> Ça montre juste qu'il n'y a pas de DKIM avec ce sélecteur "email" ?
>> 
>> Oui, mxtoolbox est un service médiocre, pour tester sa config
>> SPF/DKIM/DMARC.
> 
> 
> Je recommande https://email-security-scans.org pour avoir une évaluation 
> de SPF/DKIM/DMARC, mais aussi pour IPv6, DANE, MTA-STS et autres joyeusetés.
> 
> Laurent
> 
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Dominique Rousseau]

Le Fri, Mar 01, 2024 at 02:17:44AM +0400, Willy Manga [wil...@manbene.net] a 
écrit:
> On 29/02/2024 14:49, David Ponzone wrote:
> >D???ailleurs, y a des domaines qui ont de l???IPv6 dans le SPF ?
> >J???en trouve pas.
> 
> Au hasard .. Tous les RIR :)
> 
> Et puis comme l'a dit Stéphane B. dans un autre courriel, d'autres
> (comme moi) optent pour une déclaration 'implicite' .
> 
> Personnellement je trouve que ça évite de dupliquer des informations
> si tous les MX de son domaine sont tous bien connus.

Encore faut-il que les ips sortantes soient celles des « MX » ( au sens
enregistrement DNS ).


-- 
Dominique Rousseau 
Neuronnexion, Prestataire Internet & Intranet
6 rue des Hautes cornes - 8 Amiens
tel: 03 22 71 61 90 - fax: 03 22 71 61 99 - http://www.neuronnexion.coop


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[David Ponzone]

En fait, j’ai eu la flemme de vérifier tous les include, et je m’attendrais à 
trouver les includes ipv6 regroupés ensemble (avec des noms clairs), comme moi 
je l’aurais fait pour pas me viander.

Après, j’ai trouvé une solution pour aplatir les SPF:

http://spf.myisp.ch 

David

> Le 29 févr. 2024 à 23:17, Willy Manga  a écrit :
> 
> 
> .
> On 29/02/2024 14:49, David Ponzone wrote:
>> D’ailleurs, y a des domaines qui ont de l’IPv6 dans le SPF ?
>> J’en trouve pas.
> 
> Au hasard .. Tous les RIR :)
> 
> Et puis comme l'a dit Stéphane B. dans un autre courriel, d'autres (comme 
> moi) optent pour une déclaration 'implicite' .
> 
> Personnellement je trouve que ça évite de dupliquer des informations si tous 
> les MX de son domaine sont tous bien connus.
> 
> 
> -- 
> Willy Manga
> 
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Willy Manga]

.
On 29/02/2024 14:49, David Ponzone wrote:

D’ailleurs, y a des domaines qui ont de l’IPv6 dans le SPF ?
J’en trouve pas.


Au hasard .. Tous les RIR :)

Et puis comme l'a dit Stéphane B. dans un autre courriel, d'autres 
(comme moi) optent pour une déclaration 'implicite' .


Personnellement je trouve que ça évite de dupliquer des informations si 
tous les MX de son domaine sont tous bien connus.



--
Willy Manga


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[David Ponzone]

Ah ouf, merci, j’ai appris un truc (et honte sur dig).

David

> Le 29 févr. 2024 à 12:35, Alain Thivillon  a écrit :
> 
> Hello,
> 
> _spf1-meo.microsoft.com . 3600   IN  TXT  
>"v=spf1 ip4:52.165.175.144 ip4:52.247.53.144 ip4:157.55.254.216 
> ip4:13.74.143.28 ip4:104.214.25.77 ip4:207.46.225.107 ip4:51.137.58.21 
> ip4:138.91.172.26 ip4:52.250.107.196 ip4:13.92.31.129 ip4:51.144.100.179 
> ip4:52.160.39.140 ip4:52.244.206.214 ip4:13.72." "50.45 ip4:20.118.139.208/30 
>  ip4:20.98.194.68/30  
> ip4:20.83.222.104/30  ip4:20.88.157.184/30 
>  ip4:20.59.80.4/30  
> ip4:20.51.6.32/30  ip4:20.97.34.220/30 
>  ip4:20.107.239.64/30  
> ip4:20.105.209.76/30  ip4:20.98.148.156/30 
>  ip4:20.69.8.108/30  ~all »
> 
> (l’IPv4 sur la seconde ligne coupée au milieu par des «  « )
> 
> C'est parce que la taille max d'une string dans un TXT est 255 caractères 
> mais il peut y avoir plusieurs strings pour un RR. DIG présente ainsi ces 
> multiples strings. Le RFC 4408 spécifie clairement que c'est au client SPF de 
> réassembler.  https://datatracker.ietf.org/doc/html/rfc4408#section-3.1.3 
> 


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Alain Thivillon]

Hello,

_spf1-meo.microsoft.com. 3600   IN  TXT "v=spf1 ip4:52.165.175.144
> ip4:52.247.53.144 ip4:157.55.254.216 ip4:13.74.143.28 ip4:104.214.25.77
> ip4:207.46.225.107 ip4:51.137.58.21 ip4:138.91.172.26 ip4:52.250.107.196
> ip4:13.92.31.129 ip4:51.144.100.179 ip4:52.160.39.140 ip4:52.244.206.214
> ip4:13.72." "50.45 ip4:20.118.139.208/30 ip4:20.98.194.68/30 ip4:
> 20.83.222.104/30 ip4:20.88.157.184/30 ip4:20.59.80.4/30 ip4:20.51.6.32/30
> ip4:20.97.34.220/30 ip4:20.107.239.64/30 ip4:20.105.209.76/30 ip4:
> 20.98.148.156/30 ip4:20.69.8.108/30 ~all »
>
> (l’IPv4 sur la seconde ligne coupée au milieu par des «  « )
>

C'est parce que la taille max d'une string dans un TXT est 255 caractères
mais il peut y avoir plusieurs strings pour un RR. DIG présente ainsi ces
multiples strings. Le RFC 4408 spécifie clairement que c'est au client SPF
de réassembler.  https://datatracker.ietf.org/doc/html/rfc4408#section-3.1.3

---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Romain]

Pour ce genre de services je fournis toujours un email dont j’ai la gestion
du SMTP, mes règles, ma responsabilité.

Le jeu. 29 févr. 2024 à 12:08, Stéphane Rivière  a écrit :

> dredi - 1
> > Fantastique ...
> C'est de la faute aux impôts. Quand ils mettront leurs mails chez le
> gougle, ça ira tout de suite mieux.
>
> Et pour une délivrabilité parfaite, les datas fiscales dans leur cloud
> (ça n'a pas de rapport mais en fait... si - mouarf).
>
> C'est pourtant pas compliqué.
>
> L'assurance maladie l'a bien compris.
>
> --
> Stéphane Rivière
> Ile d'Oléron - France
>
>
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/
>

---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[David Ponzone]

Alors en fait j’avais pas tout vérifié car j’avais la faiblesse de penser que 
les gros auraient un _spf6.truc.com  dans les includes :)
Y a aucune logique ou cohérence en fait.

D’ailleurs, en regardant les SPF de Microsoft, j’ai trouvé ça, je doute que ça 
soit un syntaxe normale :)

_spf1-meo.microsoft.com. 3600   IN  TXT "v=spf1 ip4:52.165.175.144 
ip4:52.247.53.144 ip4:157.55.254.216 ip4:13.74.143.28 ip4:104.214.25.77 
ip4:207.46.225.107 ip4:51.137.58.21 ip4:138.91.172.26 ip4:52.250.107.196 
ip4:13.92.31.129 ip4:51.144.100.179 ip4:52.160.39.140 ip4:52.244.206.214 
ip4:13.72." "50.45 ip4:20.118.139.208/30 ip4:20.98.194.68/30 
ip4:20.83.222.104/30 ip4:20.88.157.184/30 ip4:20.59.80.4/30 ip4:20.51.6.32/30 
ip4:20.97.34.220/30 ip4:20.107.239.64/30 ip4:20.105.209.76/30 
ip4:20.98.148.156/30 ip4:20.69.8.108/30 ~all »

(l’IPv4 sur la seconde ligne coupée au milieu par des «  « )

David

> Le 29 févr. 2024 à 11:58, Paul Rolland (ポール・ロラン)  a 
> écrit :
> 
> Hello,
> 
> On Thu, 29 Feb 2024 11:49:13 +0100
> David Ponzone  wrote:
> 
>> D’ailleurs, y a des domaines qui ont de l’IPv6 dans le SPF ?
>> J’en trouve pas.
> 
> ;; ANSWER SECTION:
> spf.protection.outlook.com. 600 IN  TXT "v=spf1 ip4:40.92.0.0/15 
> ip4:40.107.0.0/16 ip4:52.100.0.0/14 ip4:104.47.0.0/17 ip6:2a01:111:f400::/48 
> ip6:2a01:111:f403::/49 ip6:2a01:111:f403:8000::/51 
> ip6:2a01:111:f403:c000::/51 ip6:2a01:111:f403:f000::/52 -all"
> 
> 
> Paul
> 
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Stéphane Rivière]

dredi - 1

Fantastique ...
C'est de la faute aux impôts. Quand ils mettront leurs mails chez le 
gougle, ça ira tout de suite mieux.


Et pour une délivrabilité parfaite, les datas fiscales dans leur cloud 
(ça n'a pas de rapport mais en fait... si - mouarf).


C'est pourtant pas compliqué.

L'assurance maladie l'a bien compris.

--
Stéphane Rivière
Ile d'Oléron - France


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Paul Rolland (ポール・ロラン)]

Hello,

On Thu, 29 Feb 2024 11:49:13 +0100
David Ponzone  wrote:

> D’ailleurs, y a des domaines qui ont de l’IPv6 dans le SPF ?
> J’en trouve pas.

;; ANSWER SECTION:
spf.protection.outlook.com. 600 IN  TXT "v=spf1 ip4:40.92.0.0/15 
ip4:40.107.0.0/16 ip4:52.100.0.0/14 ip4:104.47.0.0/17 ip6:2a01:111:f400::/48 
ip6:2a01:111:f403::/49 ip6:2a01:111:f403:8000::/51 ip6:2a01:111:f403:c000::/51 
ip6:2a01:111:f403:f000::/52 -all"

 
Paul


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[David Ponzone]

D’ailleurs, y a des domaines qui ont de l’IPv6 dans le SPF ?
J’en trouve pas.

David

> Le 29 févr. 2024 à 11:16, Alain Thivillon  a écrit :
> 
> Hello,
> 
> 
>> pour information, les messages de la dgfip refusés par gmail (DKIM)
>> comme indiqué ci dessous
>> 
> 
> A mon avis c'est plutôt parce que le SPF ne contient que de l'IPv4 et
> qu'ils causent à Google en IPv6.
> 
> (arrivée un peu en avance du vendredi IPv6)
> 
> 
> 
>> 
>> Feb 28 15:43:35 localhost postfix/smtp[909495]: 6C8E460817CF:
>> to=,
>> relay=gmail-smtp-in.l.google.com[2a00:1450:400c:c00::1a]:25, delay=9.3,
>> delays=0.32/0/0.11/8.9, dsn=5.7.26, status=bounced (host
>> gmail-smtp-in.l.google.com[2a00:1450:400c:c00::1a] said: 550-5.7.26 This
>> mail has been blocked because the sender is unauthenticated. 550-5.7.26
>> Gmail requires all senders to authenticate with either SPF or DKIM.
>> 550-5.7.26  550-5.7.26  Authentication results: 550-5.7.26  DKIM = did
>> not pass 550-5.7.26  SPF [dgfip.finances.gouv.fr] with ip: [] =
>> 550-5.7.26 did not pass 550-5.7.26  550-5.7.26  For instructions on
>> setting up authentication, go to 550 5.7.26
>> https://support.google.com/mail/answer/81126#authentication
>> a7-20020a05600c348700b004126fb66bbcsi943998wmq.221 - gsmtp (in reply to
>> end of DATA command))
>> 
>> Confirmé par
>> 
>> 
>> https://mxtoolbox.com/SuperTool.aspx?action=dkim%3adgfip.finances.gouv.fr%3aemail=toolpage
>> 
>> 
> Ça montre juste qu'il n'y a pas de DKIM avec ce sélecteur "email" ?
> 
> ---
> Liste de diffusion du FRnOG
> http://www.frnog.org/


---
Liste de diffusion du FRnOG
http://www.frnog.org/

Re: [FRnOG] [MISC] dgfip refusé par gmail

[Alain Thivillon]

Hello,


> pour information, les messages de la dgfip refusés par gmail (DKIM)
> comme indiqué ci dessous
>

A mon avis c'est plutôt parce que le SPF ne contient que de l'IPv4 et
qu'ils causent à Google en IPv6.

(arrivée un peu en avance du vendredi IPv6)



>
> Feb 28 15:43:35 localhost postfix/smtp[909495]: 6C8E460817CF:
> to=,
> relay=gmail-smtp-in.l.google.com[2a00:1450:400c:c00::1a]:25, delay=9.3,
> delays=0.32/0/0.11/8.9, dsn=5.7.26, status=bounced (host
> gmail-smtp-in.l.google.com[2a00:1450:400c:c00::1a] said: 550-5.7.26 This
> mail has been blocked because the sender is unauthenticated. 550-5.7.26
> Gmail requires all senders to authenticate with either SPF or DKIM.
> 550-5.7.26  550-5.7.26  Authentication results: 550-5.7.26  DKIM = did
> not pass 550-5.7.26  SPF [dgfip.finances.gouv.fr] with ip: [] =
> 550-5.7.26 did not pass 550-5.7.26  550-5.7.26  For instructions on
> setting up authentication, go to 550 5.7.26
> https://support.google.com/mail/answer/81126#authentication
> a7-20020a05600c348700b004126fb66bbcsi943998wmq.221 - gsmtp (in reply to
> end of DATA command))
>
> Confirmé par
>
>
> https://mxtoolbox.com/SuperTool.aspx?action=dkim%3adgfip.finances.gouv.fr%3aemail=toolpage
>
>
Ça montre juste qu'il n'y a pas de DKIM avec ce sélecteur "email" ?

---
Liste de diffusion du FRnOG
http://www.frnog.org/