SpamAssassin, IMAP Spam-Scanner & SPF Fail

# ~all ... Direktive für SoftFail
# Wenn der Sendeserver nicht im SPF-Record steht. 

score    SPF_SOFTFAIL 400
describe SPF_SOFTFAIL spf-softfail-yes

score    SPF_HELO_SOFTFAIL 400
describe SPF_HELO_SOFTFAIL SPF_HELO_SOFTFAIL spf-softfail-yes

score    HEADER_FROM_DIFFERENT_DOMAINS 400
describe HEADER_FROM_DIFFERENT_DOMAINS Von verschiedenen Domains gesendet (spf-softfail-yes)


############## SPF-SOFTFAIL - Ende ##############

Um später dem Sieve-Plugin von Dovecot die relevanten Filterregeln hinzufügen zu können, müssen noch zwei Erweiterungen aktiviert werden. Wir suchen in der Datei /etc/dovecot/conf.d/90-sieve.conf nach der Zeile sieve_extensions und fügen unterhalb die beiden Erweiterungen ein:

sieve_extensions = +editheader +variables +comparator-i;ascii-numeric

In der Datei /etc/dovecot/sieve-after/spam-to-folder.sieve ersetzen wir den gesamten Inhalt mit:

require ["fileinto","mailbox","editheader","variables","regex,"comparator-i","ascii-numeric"];



# ~all ... Direktive für SoftFail
# Wenn der Sendeserver nicht im SPF-Record steht.
if header :regex "subject" "(.*)" {
    if header :contains "X-Spam-Report" "spf-softfail-yes" {
    deleteheader "Subject";
    addheader "Subject" " ** Möglicher Betrug! ** ${1}";
    if header :value "ge" :comparator "i;ascii-numeric" ["X-Spam-score"] ["440"] {
     fileinto :create "Junk";
     stop;
    }
  stop;
  }
}

# ~all ... Direktive für SoftFail
# Wenn der Sendeserver nicht im SPF-Record steht
# und der Betreff leer ist.
if not header :contains "subject" "" {
  if header :contains "X-Spam-Report" "spf-softfail-yes" {
    deleteheader "Subject";
    addheader "Subject" " ** Möglicher Betrug! **";
    if header :value "ge" :comparator "i;ascii-numeric" ["X-Spam-score"] ["440"] {
    fileinto :create "Junk";
    stop;
    }
  stop;
  }
}

# Wenn die Mail von Spamassassin als Spam erkannt wurde.
if header :contains "X-Spam-Flag" "YES" {
  fileinto :create "Junk";
  stop;
}

Der Befehl sievec kompiliert die Datei in ein für Dovecot lesbares Format.

sievec /etc/dovecot/sieve-after/spam-to-folder.sieve

Alle Änderungen an Dovecot übernehmen wir mit:

systemctl restart dovecot

Testen

Um unseren Spamfilter zu testen, melden wir uns mit dem SpamAssassin-Benutzer an und fügen in die SpamAssassin-Konfigurationsdatei am Anfang folgende Zeilen ein:

vi /var/spool/amavisd/.spamassassin/user_prefs

# Softfail Test
rawbody SOFTFAIL_TEST /spf-softfail-test/i
score SOFTFAIL_TEST 400
describe SOFTFAIL_TEST spf-softfail-yes

Zum Schluss schicken wir von einem externen Postfach eine E-Mail an unseren Server mit dem Inhalt: "spf-softfail-test".

Alternativ kann auch eine E-Mail von einem nicht autorisiertem Server geschickt werden.

Sollte alles funktionieren, wird der Betreff der E-Mail automatisch umgeschrieben.

Quellen

Sieve-Filter für einen Spam-Wert höher als:

https://www.fastmail.com/help/technical/sieve-examples.html

SPF setting does not apply to Return-Path causing more spam and phishing e-mails | Spamassassin | Postfix

https://www.lexo.ch/blog/2018/07/solved-spf-setting-does-not-apply-to-return-path-causing-more-spam-and-phishing-e-mails-spamassassin-postfix/