Mailer Daemon - co to jest i dlaczego dostaję takie wiadomości?

Wysyłasz e-mail i po chwili przychodzi odpowiedź od "Mailer Daemon". Albo gorzej - takich wiadomości jest kilkanaście, chociaż tego dnia nie wysyłałeś niczego. Sama nazwa może wyglądać podejrzanie, ale Mailer Daemon nie jest ani wirusem, ani tajemniczym nadawcą próbującym dostać się do skrzynki. Najczęściej to serwer pocztowy daje znać, że wiadomości nie udało się dostarczyć. Powód bywa banalny: zły adres, pełna skrzynka odbiorcy, za duży załącznik. Są jednak sytuacje, które rzeczywiście warto sprawdzić dokładniej.

Mailer Daemon - co to właściwie jest?

Zacznijmy od nazwy, bo to ona potrafi niepotrzebnie przestraszyć. "Daemon" nie oznacza tutaj niczego podejrzanego. W informatyce tak określa się program lub proces działający w tle.

Mailer Daemon działa właśnie w takim tle. Obsługuje pocztę i może wygenerować automatyczną informację, gdy wysłany e-mail nie dociera tam, gdzie powinien.

Typowa sytuacja? Wysyłasz wiadomość na źle zapisany adres. Serwer próbuje ją dostarczyć, stwierdza, że taka skrzynka nie istnieje, i zwraca informację o błędzie. Nadawcą raportu może być adres podobny do:

Adres poczty elektronicznej jest chroniony przed robotami spamującymi. W przeglądarce musi być włączona obsługa JavaScript, żeby go zobaczyć.

Nie wszędzie zobaczymy dokładnie taką nazwę. Serwer może podpisać wiadomość jako Mail Delivery System albo Mail Delivery Subsystem. Możemy też dostać e-mail zatytułowany "Undelivered Mail Returned to Sender".

Różne nazwy, podobna funkcja. Poczta wraca z informacją: nie udało się jej dostarczyć albo pojawił się problem, który może to dostarczenie opóźnić.

Bo nie każdy błąd oznacza definitywny koniec. Czasem serwer odbiorcy jest chwilowo niedostępny i system spróbuje ponownie później.

Dlaczego dostałem wiadomość od Mailer Daemon?

Jeżeli raport pojawił się chwilę po wysłaniu e-maila, zacznij właśnie od niego. Sprawdź adres odbiorcy. Jedna pomylona litera wystarczy.

Adres jest prawidłowy? W takim razie przyczyna może leżeć gdzie indziej.

Skrzynka odbiorcy mogła się zapełnić. Jego serwer może chwilowo nie odpowiadać. Wiadomość mogła być za duża albo zostać zatrzymana przez filtr antyspamowy. Przy poczcie działającej we własnej domenie dochodzą problemy z konfiguracją DNS, SPF, DKIM czy DMARC.

Nie ma więc jednej odpowiedzi na pytanie "dlaczego pisze do mnie Mailer Daemon?". Sam nadawca raportu niczego jeszcze nie wyjaśnia.

Odpowiedź zwykle jest w środku wiadomości. Niestety często otoczona sporą ilością technicznego tekstu.

Co oznaczają komunikaty w wiadomości Mailer Daemon?

Nie trzeba analizować raportu linijka po linijce. Na początek wystarczy znaleźć kod błędu i tekst znajdujący się obok niego.

Jeśli widzisz User unknown, sprawa jest dość jasna. Przy samym 550 trzeba już przeczytać więcej, bo ten kod może pojawić się z różnych powodów.

Ta ostatnia różnica jest praktyczna. Jeśli serwer zgłasza problem tymczasowy, wysyłanie tego samego maila pięć razy w ciągu kilku minut nie ma większego sensu. Jeżeli natomiast zwraca trwały błąd, czekanie do jutra również raczej go nie naprawi.

Mailer Daemon, chociaż niczego nie wysyłałem

I tutaj robi się ciekawiej.

Rano otwierasz skrzynkę. Pięć wiadomości od Mailer Daemon. Za godzinę następne. Wszystkie informują o niedostarczonych e-mailach do ludzi, których nie znasz.

Tylko że Ty niczego nie wysyłałeś.

Czy ktoś włamał się na pocztę? Być może. Ale równie dobrze nikt nie musiał znać Twojego hasła.

Adres nadawcy e-maila można sfałszować. To tzw. email spoofing. Spamer rozsyła wiadomości, wpisując w polu nadawcy cudzy adres. Jeśli część tej poczty nie zostanie dostarczona, źle skonfigurowane lub starsze systemy mogą wysłać raport zwrotny właśnie pod podszyty adres.

I nagle Mailer Daemon trafia do osoby, która z całą akcją nie miała nic wspólnego.

Takie niechciane zwrotki określa się również jako backscatter.

Czy Mailer Daemon to wirus?

Sam Mailer Daemon wirusem nie jest. To normalny element działania poczty.

Nie wyciągajmy jednak z tego wniosku, że każda wiadomość podpisana "Mailer Daemon" jest automatycznie bezpieczna. Pole nadawcy można sfałszować. Oszust może również przygotować wiadomość tak, aby przypominała techniczny raport serwera.

Szczególnie podejrzany jest "raport", który każe pobrać załącznik, zainstalować program albo pilnie zalogować się do poczty przez podany link. Prawdziwa zwrotka ma przede wszystkim powiedzieć, co stało się z wiadomością. Nie potrzebuje Twojego hasła.

Jeżeli więc Mailer Daemon informuje o niedostarczonym mailu, którego faktycznie przed chwilą wysłałeś, wszystko składa się w logiczną całość. Gdy wiadomość pojawia się zupełnie bez kontekstu i próbuje nakłonić Cię do wykonania nietypowej czynności, lepiej jej nie ufać.

Co zrobić, gdy takich wiadomości nagle jest bardzo dużo?

Jedna zwrotka to codzienność. Kilkadziesiąt w krótkim czasie - już nie.

Na początek zajrzyj do folderu "Wysłane". Jeśli są tam wiadomości, których nie rozpoznajesz, zmień hasło. Nie na podobne do starego. Na nowe i nieużywane w innych serwisach. Sprawdź też aktywne sesje, urządzenia podłączone do konta oraz ewentualne reguły przekazywania poczty. Jeśli można włączyć uwierzytelnianie dwuskładnikowe, zrób to.

Folder "Wysłane" nie daje jednak pełnej odpowiedzi. Ktoś korzystający ze skrzynki lub danych dostępowych nie musi pozostawić w nim czytelnego śladu.

Przy poczcie we własnej domenie warto sprawdzić również SPF, DKIM i DMARC. Nie są magiczną tarczą przeciwko całemu spamowi, ale pomagają innym serwerom ocenić, kto rzeczywiście może wysyłać pocztę w imieniu danej domeny.

Administrator serwera ma jeszcze jedną przewagę - logi.

Jeśli podejrzane wiadomości rzeczywiście przeszły przez serwer pocztowy, jest czego szukać. Jeśli w logach ich nie ma, a zwrotki nadal przychodzą, coraz bardziej prawdopodobne staje się podszywanie pod adres zamiast faktycznej wysyłki z konta.

To dwie zupełnie różne sytuacje i wymagają innej reakcji.

Jak znaleźć prawdziwą przyczynę problemu?

Najgorsze, co można zrobić z każdą wiadomością Mailer Daemon, to automatycznie wrzucić ją do kosza. Przynajmniej pierwszą warto przeczytać.

Nie całą. Szukamy konkretów.

Do jakiego adresu nie udało się dostarczyć poczty? Jaki kod zwrócił serwer? Co napisano bezpośrednio obok niego?

User unknown kieruje nas do adresu odbiorcy. Mailbox full - do jego przepełnionej skrzynki. Informacje o SPF, DKIM, DMARC, reputacji IP czy spamie oznaczają, że trzeba przyjrzeć się już samej konfiguracji wysyłki.

A jeśli nie wysyłałeś wiadomości, której dotyczy raport? Wtedy pytanie jest inne: czy ten e-mail rzeczywiście wyszedł z mojego konta lub serwera?

To właśnie trzeba ustalić.

Mailer Daemon sam w sobie nie jest awarią. Najczęściej jest tylko posłańcem. Czasem przynosi prostą informację o literówce w adresie, czasem ostrzega o problemie z konfiguracją poczty, a czasem jako pierwszy pokazuje, że ktoś podszywa się pod nasz adres.

Dlatego zamiast bać się nazwy "Mailer Daemon", lepiej przeczytać kilka linijek niżej. Tam zwykle zaczyna się właściwa odpowiedź.