[GSuite] Versturen van mail via een domain alias

[.oisyn]

TL;DR: Als ik mail verstuur via een domain alias bij GMail, hoe kom ik dan af van het feit dat Outlook zegt dat de mail verstuurd is door een specifieke server (bij de afzender staat dan iets als: <naam> via <server>)?

---

Ik heb een aantal persoonlijke domeinen, en op een van mijn domeinen, we noemen deze even oud.nl, heb ik nog een G-Suite Legacy Free account. Deze gebruik ik ook al jaren voor mijn standaard mail. Nu wil ik echter overstappen naar een ander domein, nieuw.nl. GSuite Free kun je al lang niet meer afsluiten, maar je wel kunt doen is je domein toevoegen als een alias, en dan kun je dat ook als from-adres gebruiken.

Dit werkt op zich prima, en ook met wat gekunstel kun je Outlook zover krijgen dat ie automatisch [e-mail] gebruikt als afzender, terwijl ie op het Google account van [e-mail] zit.

Mijn probleem, echter, zit in het ontvangen van dergelijke verzonden emails. Als test stuur ik de mails naar mijn werk-adres, wat via Office 365 loopt. Als ik mails verstuur via [e-mail], dan zie ik gewoon netjes mijn naam in de afzender: Naam <[e-mail]>. Als ik echter [e-mail] gebruik, dan zie ik iets als: Naam <[e-mail]> (Naam via oud-nl.12345678.gappssmtp.com)

Misschien dat dit specifiek een Exchange of Outlook ding is, geen idee hoe andere mail clients hiermee om gaan, maar ik wil hier vanaf.

Mijn nieuwe domein heeft een valide SPF-record. Als de headers vergelijk tussen mails van oud.nl en nieuw.nl, dan valt me wel iets op:
oud.nl:

code:

Authentication-Results: spf=pass (sender IP is REDACTED)
 smtp.mailfrom=oud.nl; werk.com; dkim=pass (signature was verified)
 header.d=oud-nl.12345678.gappssmtp.com;werk.com; dmarc=bestguesspass 
 action=none header.from=oud.nl;compauth=pass reason=109

nieuw.nl:

code:

Authentication-Results: spf=pass (sender IP is REDACTED)
 smtp.mailfrom=oud.nl; werk.com; dkim=pass (signature was verified)
 header.d=nieuw-nl.20150623.gappssmtp.com;werk.com; dmarc=none action=none
 header.from=nieuw.nl;compauth=pass reason=106

Mijn domeinen hebben geen DMARC records. Ik ken dat systeem verder niet, maar als ik het zo lees is het ook niet echt iets dat ik nodig heb. De reden dat hij bij oud.nl 'bestguesspass' zegt, komt omdat de FROM overeenkomt met de server waar het bericht vandaan komt, zoals je hier kunt lezen: https://docs.microsoft.co...on-results-message-header

Dus, is er iets van een instelling die ik kan doen op mijn domein of bij Gmail zodat ik kan voorkomen dat Outlook zegt dat de mail verzonden is via een specifieke server?

[.oisyn]

Bedankt voor alle reacties!

Anyway, ik heb maar eens geprobeerd DMARC op te zetten. Ik heb een _dmarc TXT entry aangemaakt met

code:

v=DMARC1; p=none

Maar nu krijg ik een dmarc=fail in de headers. Verder geen verschil.

[ThomasG]

Waarschijnlijk ben je het DKIM dns record vergeten in te stellen op nieuw.nl, dan ondertekend GMail alle emails via het gappssmtp.com domein. Dit kun je eenvoudig checken met bijvoorbeeld:

Bash:

dig +short txt google._domainkey.oud.nl
dig +short txt google._domainkey.nieuw.nl

Ik vermoed dat je de DKIM van oud kunt kopiëren, maar in de GSuit admin omgeving staat hij er als het goed is ook tussen.

Edit: stuur ook eens vanaf beide email adressen een email naar [e-mail], en vergelijk de output.

[ Voor 13% gewijzigd door ThomasG op 28-09-2020 15:09 ]

[.oisyn]

@ThomasG Ik heb idd geen DKIM record op nieuw.nl, maar die heb ik eerlijk gezegd ook niet op oud.nl

.edit: Ik had trouwens m'n DMARC gewijzigd in

code:

v=DMARC1; p=reject; adkim=r; aspf=r; rua=mailto:[e-mail]

Met het resultaat dat ie 'm dan ook echt reject en in mijn spam folder mieterde.

[ Voor 56% gewijzigd door .oisyn op 28-09-2020 15:17 ]

[Woy]

Is het niet het MAIL FROM domain wat verkeerd staat? ( https://docs.aws.amazon.c...l?icmpid=docs_ses_console )

[hostname]

Wat hier gebeurd is dat de mail die je verstuurt een From:-header heeft met je @nieuw.nl adres, maar op SMTP-niveau een MAIL FROM met je @oud.nl adres. Bij een mismatch tussen deze domeinen geeft Outlook (maar ook Gmail) zo'n via melding (ik vermoed omdat een mismatch vaak een teken van spam is).

Je beste plan van aanpak is om je Outlook zo in te stellen dat deze ook een @nieuw.nl adres als afzender gebruikt op SMTP-niveau.

EDIT: Ik zie dat i.i.g. Gmail de via-melding weghaalt als het bericht wel een geldige DKIM-signature heeft van het domein in de From:. Dat instellen kan je dus ook helpen.

[ Voor 16% gewijzigd door hostname op 28-09-2020 15:24 ]

[Woy]

Heb je het ook als je de mail via web-mail verstuurd? ( https://support.google.com/mail/thread/10267928?hl=en )?

Nadeel is wel dat het voor een G-Suite Legacy Free account niet mogelijk is om de primary domain aan te passen, daar heb ik zelf ook last van

[.oisyn]

hostname schreef op maandag 28 september 2020 @ 15:17:
Je beste plan van aanpak is om je Outlook zo in te stellen dat deze ook een @nieuw.nl adres als afzender gebruikt op SMTP-niveau.

Maar als ik de mail stuur via de web interface van gmail, waar ik [e-mail] gewoon toegevoegd heb als alternatief FROM adres (wat ik ook niet hoefde te verifieren, aangezien nieuw.nl een domain alias is) krijg ik hetzelfde.

Woy schreef op maandag 28 september 2020 @ 15:23:
Heb je het ook als je de mail via web-mail verstuurd? ( https://support.google.com/mail/thread/10267928?hl=en )?

Nadeel is wel dat het voor een G-Suite Legacy Free account niet mogelijk is om de primary domain aan te passen, daar heb ik zelf ook last van

Ja dus

[ Voor 28% gewijzigd door .oisyn op 28-09-2020 15:25 ]

[hostname]

.oisyn schreef op maandag 28 september 2020 @ 15:25:
[...]

Maar als ik de mail stuur via de web interface van gmail, waar ik [e-mail] gewoon toegevoegd heb als alternatief FROM adres (wat ik ook niet hoefde te verifieren, aangezien nieuw.nl een domain alias is) krijg ik hetzelfde.

Ik ben niet bekend met hoe dit in GSuite werkt, weet je zeker dat dit ook de afzender op SMTP-niveau aanpast en niet alleen de header?

[Woy]

.oisyn schreef op maandag 28 september 2020 @ 15:25:
[...]
Ja dus

Dat is dan vreemd, ik heb exact dezelfde setup, en heb het net even getest. Vanuit Gmail web interface een mail gestuurd met mijn alias domain naar een office 365 account, in de web-interface daar zie ik nergens iets van <naam> via <server> staan.

[ThomasG]

Woy schreef op maandag 28 september 2020 @ 15:30:
[...]

Dat is dan vreemd, ik heb exact dezelfde setup, en heb het net even getest. Vanuit Gmail web interface een mail gestuurd met mijn alias domain naar een office 365 account, in de web-interface daar zie ik nergens iets van <naam> via <server> staan.

Ik heb dat net gechecked bij mijn GSuit Legacy Free, en als ik via mijn mail client send via alias.nl dan rewrite google alle headers naar primary.nl, en komt er vervolgens een X-Google-Original-From header bij

[.oisyn]

Woy schreef op maandag 28 september 2020 @ 15:30:
[...]

Dat is dan vreemd, ik heb exact dezelfde setup, en heb het net even getest. Vanuit Gmail web interface een mail gestuurd met mijn alias domain naar een office 365 account, in de web-interface daar zie ik nergens iets van <naam> via <server> staan.

Oh mijn laatste DMARC change lijkt wel iets gedaan te hebben. Ik krijg nu:



De "via <server>" is dus weg. Zowel via Outlook als via Gmail web. [.edit: oh dit heeft vrijwel zeker weten met de fail van DMARC te maken, hij wil 'm nu rejecten]

Wel interessant dat het bij jou allemaal goed gaat. Wat voor domein-instellingen heb jij gedaan kwa SPF, DKIM en DMARC?

[ Voor 6% gewijzigd door .oisyn op 28-09-2020 15:41 ]

[.oisyn]

ThomasG schreef op maandag 28 september 2020 @ 15:36:
[...]
Ik heb dat net gechecked bij mijn GSuit Legacy Free, en als ik via mijn mail client send via alias.nl dan rewrite google alle headers naar primary.nl, en komt er vervolgens een X-Google-Original-From header bij

Maar heb je je domain ook toegevoegd als alias in de admin, en de alternatieve sender bij gmail?

[ThomasG]

.oisyn schreef op maandag 28 september 2020 @ 15:38:
[...]


Maar heb je je domain ook toegevoegd als alias in de admin, en de alternatieve sender bij gmail?

Het staat als alias voor primary.nl op de domeinen pagina. Ik kan niet vinden waar ik het als alternative sender kan invoeren, ik neem aan dat dát automatisch gaat aangezien ik hem wel kan kiezen om DKIM etc in te stellen.

Maar voor jouw nieuwe vraag, zoals ik in mijn edit aangaf

Edit: stuur ook eens vanaf beide email adressen een email naar [e-mail], en vergelijk de output.

[Woy]

.oisyn schreef op maandag 28 september 2020 @ 15:37:
[...]


Oh mijn laatste DMARC change lijkt wel iets gedaan te hebben. Ik krijg nu:

[Afbeelding]

De "via <server>" is dus weg. Zowel via Outlook als via Gmail web. [.edit: oh dit heeft vrijwel zeker weten met de fail van DMARC te maken, hij wil 'm nu rejecten]

Wel interessant dat het bij jou allemaal goed gaat. Wat voor domein-instellingen heb jij gedaan kwa SPF, DKIM en DMARC?

SPF en DKIM heb ik ingesteld, DMARC moet ik eigenlijk nog eens uitzoeken, heb ik ieder geval nooit bewust gedaan.

[.oisyn]

ThomasG schreef op maandag 28 september 2020 @ 15:08:
Edit: stuur ook eens vanaf beide email adressen een email naar [e-mail], en vergelijk de output.

Met "output" bedoel je dan het antwoord op die mail? Of waar moet ik die output aflezen?

Woy schreef op maandag 28 september 2020 @ 15:43:
[...]

SPF en DKIM heb ik ingesteld, DMARC moet ik eigenlijk nog eens uitzoeken, heb ik ieder geval nooit bewust gedaan.

Ah ik heb dus niets aan DKIM gedaan. Op geen van mijn domeinen.

[ Voor 31% gewijzigd door .oisyn op 28-09-2020 15:45 ]

[ThomasG]

.oisyn schreef op maandag 28 september 2020 @ 15:44:
[...]

Met "output" bedoel je dan het antwoord op die mail? Of waar moet ik die output aflezen?

Daarmee bedoel ik inderdaad het antwoord de mail. Daar kun je zien wat de resultaten van SPF, en DKIM zijn. Of ze falen, en zo ja: waarom.

[Woy]

.oisyn schreef op maandag 28 september 2020 @ 15:44:
[...]
Ah ik heb dus niets aan DKIM gedaan. Op geen van mijn domeinen.

Dat zal dan waarschijnlijk een oorzaak zijn, want dan zal GMail het met zijn eigen domains signen, die dus niet overeenkomt met jouw alias domain

[ Voor 7% gewijzigd door Woy op 28-09-2020 15:50 ]

[.oisyn]

ThomasG schreef op maandag 28 september 2020 @ 15:46:
[...]
Daarmee bedoel ik inderdaad het antwoord de mail. Daar kun je zien wat de resultaten van SPF, en DKIM zijn. Of ze falen, en zo ja: waarom.

SPF check: pass
"iprev" check: pass
DKIM check: pass
SpamAssassin check: ham

Met de opmerking bij DKIM: signature verifies; identity doesn't match any headers

[Woy]

Probeer DKIM eens in te stellen: https://admin.google.com/ac/apps/gmail/authenticateemail

[.oisyn]

Zojuist gedaan met die tool idd. Nu even afwachten tot het verifieert

.edit: even een shoutout naar @hostname, ik heb je posts gezien hoor Het ging even wat rap.

[ Voor 40% gewijzigd door .oisyn op 28-09-2020 15:57 ]

[.oisyn]

VICTORY
De DKIM deed het hem!

Dit zegt Exchange nu:

code:

Authentication-Results: spf=pass (sender IP is REDACTED)
 smtp.mailfrom=oud.nl; werk.com; dkim=pass (signature was verified)
 header.d=nieuw.nl;werk.com; dmarc=bestguesspass action=none
 header.from=nieuw.nl;compauth=pass reason=109

Nog steeds een MAIL FROM oud.nl waarschijnlijk, gezien die header.

[ThomasG]

.oisyn schreef op maandag 28 september 2020 @ 16:08:
VICTORY
De DKIM deed het hem!

Dit zegt Exchange nu:

code:

Authentication-Results: spf=pass (sender IP is REDACTED)
 smtp.mailfrom=oud.nl; werk.com; dkim=pass (signature was verified)
 header.d=nieuw.nl;werk.com; dmarc=bestguesspass action=none
 header.from=nieuw.nl;compauth=pass reason=109

Nog steeds een MAIL FROM oud.nl waarschijnlijk, gezien die header.

Je zou nog DMARC records kunnen toevoegen, de meest eenvoudige is v=DMARC1; p=none waarmee je tegen de ontvangende mailservers zegt: als de SPF en/of DKIM records ontbreken en/of niet goed zijn, mag je de email gewoon accepteren.

[.oisyn]

ThomasG schreef op maandag 28 september 2020 @ 16:30:
[...]
Je zou nog DMARC records kunnen toevoegen, de meest eenvoudige is v=DMARC1; p=none waarmee je tegen de ontvangende mailservers zegt: als de SPF en/of DKIM records ontbreken en/of niet goed zijn, mag je de email gewoon accepteren.

Zie .oisyn in "[GSuite] Versturen van mail via een domain alias", dat leek averechts te werken (ik had op zowel SPF als DKIM al een pass)

[.oisyn]

@ThomasG Grappig trouwens dat die mails naar [e-mail] worden beantwoord op [e-mail] . Als ik zelf een reply doe op een van m'n test emails dan gaat ie wel gewoon naar [e-mail].

[ Voor 30% gewijzigd door .oisyn op 28-09-2020 16:37 ]

[ThomasG]

.oisyn schreef op maandag 28 september 2020 @ 16:36:
@ThomasG Grappig trouwens dat die mails naar [e-mail] worden beantwoord op [e-mail] . Als ik zelf een reply doe op een van m'n test emails dan gaat ie wel gewoon naar [e-mail].

Standaard reageert het op de mail from. Er zijn drie email adressen waar je naar kunt sturen, een voor mail from, een voor de "from:" header en een waar je het zelf op kunt geven.