Mailer daemon – co to jest i co zrobić, gdy przyjdzie taka wiadomość

Czym jest Mailer-Daemon i dlaczego ląduje w Twojej skrzynce?

Mailer-Daemon to tradycyjna nazwa programu, który przekazuje pocztę między serwerami i odsyła nadawcy raport o niedoręczeniu, gdy wiadomość nie może trafić do adresata. Taki raport przychodzi zwykle kilkanaście sekund po wysłaniu, od nadawcy „Mailer-Daemon” albo „Mail Delivery Subsystem”, z tematem w rodzaju „Undelivered Mail Returned to Sender”. Nie pisze go człowiek, tylko automat serwera, więc nie świadczy o wirusie ani awarii komputera.

Słowem „daemon” w systemach operacyjnych od dziesięcioleci określa się procesy działające w tle, które realizują powierzone im zadania bez konieczności bezpośredniej ingerencji człowieka. W architekturze pocztowej Mailer-Daemon to tradycyjna nazwa automatycznego programu transportowego (ang. Mail Transport Agent – MTA). Odpowiada on za odbiór wiadomości, przekazywanie ich między kolejnymi węzłami sieci oraz czuwanie nad tym, by korespondencja bezpiecznie dotarła do serwera docelowego¹.

Gdy serwer pocztowy napotka na drodze przesyłki jakąkolwiek przeszkodę uniemożliwiającą sfinalizowanie transmisji, ma obowiązek sporządzić i odesłać do nadawcy formalne zawiadomienie o problemie technicznym. Taki dokument określa się jako raport o niedoręczeniu (ang. Non-Delivery Report – NDR) lub powiadomienie o statusie doręczenia (ang. Delivery Status Notification – DSN). Międzynarodowy standard RFC 3464 precyzyjnie definiuje strukturę tych raportów, wymuszając dołączanie nagłówków diagnostycznych, które wskazują dokładną przyczynę zatrzymania listu.

W zależności od platformy pocztowej, z której na co dzień korzystasz, ten sam mechanizm ochronny występuje pod różnymi nazwami. W poczcie Gmail powiadomienia o problemach z doręczeniem generuje system występujący oficjalnie jako mail delivery subsystem, rozsyłający komunikaty z adresu mailer-daemon@googlemail.com. Z kolei w ekosystemie Microsoft Exchange Online oraz usłudze Microsoft 365 komunikaty te funkcjonują jako oficjalne raporty NDR lub potoczne wiadomości typu „bounce message”². Niezależnie od używanego szyldu cel jest zawsze ten sam: precyzyjne powiadomienie nadawcy, dlaczego korespondencja nie mogła trafić do adresata.

Jak czytać komunikat serwera pocztowego? Kody 4xx i 5xx

Komunikat Mailer-Daemon czytasz od pola Diagnostic-Code: to w nim serwer odbiorcy podaje kod błędu SMTP i powód odrzucenia. Kody zaczynające się od 4 oznaczają błąd tymczasowy, a od 5 błąd trwały. W nagłówkach raportu DSN znajdują się pola takie jak Final-Recipient (docelowy adresat), Action (podjęte działanie, np. „failed”) oraz pole Diagnostic-Code, które zawiera bezpośrednią odpowiedź serwera pocztowego odbiorcy wraz ze szczegółowym kodem błędu.

Najważniejszą informacją ukrytą w kodzie diagnostycznym jest trzycyfrowy kod protokołu SMTP. Standard RFC 5321 dzieli wszystkie błędy pocztowe na dwie zasadnicze kategorie, które niosą zupełnie odmienne konsekwencje dla nadawcy. Kody zaczynające się od cyfry 4 (grupa 4xx) oznaczają błędy przejściowe (ang. Transient Negative Completion)³. Wskazują one, że serwer docelowy jest chwilowo niedostępny, przeciążony lub prowadzi prace konserwacyjne, co nakłada na Twój serwer pocztowy obowiązek automatycznego ponawiania prób doręczenia w kolejnych odstępach czasu.

Zupełnie inaczej należy interpretować błędy, których kod rozpoczyna się od cyfry 5 (grupa 5xx). Zgodnie ze standardem SMTP są to błędy trwałe (ang. Permanent Negative Completion), które jednoznacznie informują o definitywnym odrzuceniu korespondencji. Serwer wysyłający wie wówczas, że kolejna próba nadania przyniesie dokładnie taki sam skutek, dlatego natychmiast przerywa operację i odsyła raport do nadawcy. Nowoczesne systemy uzupełniają te informacje o rozszerzone statusy RFC 3463 o trójczłonowej strukturze Klasa.Kategoria.Szczegół, gdzie klasa 5.X.X szczegółowo opisuje naturę powstałej blokady⁴.

Co zrobić krok po kroku, gdy otrzymasz powiadomienie Mailer-Daemon?

Po otrzymaniu powiadomienia Mailer-Daemon odczytaj kod błędu, usuń przyczynę (popraw adres, zmniejsz załącznik albo skontaktuj się z adresatem inną drogą) i dopiero wtedy wyślij wiadomość ponownie. Przy kodach 4xx nic nie rób: serwer sam ponowi próbę doręczenia.

1. Zlokalizuj kod błędu oraz wiersz diagnostyczny. Otwórz otrzymaną wiadomość zwrotną i odszukaj sekcję techniczną zawierającą nagłówki Action, Status lub Diagnostic-Code, aby dowiedzieć się, czy odrzucenie nastąpiło z winy adresu, przepełnienia skrzynki czy filtrów antyspamowych.

2. Skontroluj pisownię adresu pocztowego odbiorcy. Błędy typu 5.1.1 wynikają najczęściej z prozaicznych pomyłek, takich jak przypadkowa spacja na końcu adresu, brakująca litera w nazwisku czy przestawione litery w domenie (np. wpisanie „gmai.com” zamiast „gmail.com”).

3. Sprawdź łączną wagę przesyłanych załączników. Jeśli w komunikacie pojawia się błąd o kodzie 552, zweryfikuj rozmiar dodanych plików, pamiętając, że serwery pocztowe kodują załączniki w sposób zwiększający ich objętość przesyłową.

4. Oceń, czy błąd ma charakter przejściowy. Jeżeli kod odpowiedzi zaczyna się od cyfry 4, nie podejmuj żadnych manualnych działań; system pocztowy podejmie kolejne próby dostarczenia wiadomości samoczynnie bez Twojego udziału.

5. Nawiąż kontakt z odbiorcą inną drogą. Gdy przyczyną odrzucenia jest przepełniona skrzynka adresata lub blokada korespondencji z zewnątrz, poinformuj drugą stronę telefonicznie, aby mogła uporządkować konto lub zmienić uprawnienia u administratora.

Masowe zwrotki: jak odróżnić przejęcie konta od podszywania (Spoofing i Backscatter)?

Masowe zwroty maili, których nie wysyłałeś, oznaczają jedną z dwóch rzeczy, a rozróżnisz je w folderze „Wysłane”. Jeśli są w nim obce wiadomości, ktoś przejął Twoje konto. Jeśli ich tam nie ma, spamer tylko podszywa się pod Twój adres (spoofing), a zwroty trafiają do Ciebie jako tzw. backscatter.

Kluczem do postawienia właściwej diagnozy jest dokładne sprawdzenie folderu „Wysłane”. Jeżeli odnajdziesz w nim setki obcych wiadomości o charakterze reklamowym lub oszukańczym, oznacza to bezpośrednie włamanie na skrzynkę pocztową wynikające ze skompromitowania hasła lub przejęcia aktywnej sesji. W takim wypadku jedynym skutecznym ratunkiem jest natychmiastowa zmiana hasła dostępu, zakończenie wszystkich aktywnych sesji na podpiętych urządzeniach oraz bezwzględne włączenie uwierzytelniania dwuskładnikowego (2FA).

Jeżeli jednak w folderze „Wysłane” panuje nienaganny porządek i nie ma w nim ani jednego obcego maila, Twoje konto nie zostało przełamane. Przyczyną zalewu zwrotek jest wówczas podszywanie się pod adres e-mail (ang. email spoofing). Przestarzała konstrukcja podstawowego protokołu SMTP pozwala spamerom na wpisanie dowolnego ciągu znaków w nagłówkach From lub Return-Path, przez co przestępcy wysyłają niechciane wiadomości ze swoich maszyn, firmując je Twoim adresem.

Gdy tysiące takich sfałszowanych listów trafia na nieistniejące konta odbiorców, zewnętrzne serwery pocztowe odrzucają je i posłusznie generują raporty NDR, kierując je pod adres podany w nagłówku zwrotnym – czyli prosto do Twojej skrzynki. To zjawisko w literaturze sieciowej określa się jako zjawisko backscatter (ang. misdirected bounces)⁵. W przypadku posiadania własnej domeny najskuteczniejszą tarczą ochronną jest wdrożenie restrykcyjnej polityki DMARC z regułą odrzucania (p=reject) w połączeniu z mechanizmami SPF i DKIM, co zmusza serwery odbiorcze do odrzucania fałszywek w trakcie sesji SMTP, bez odsyłania uciążliwych zwrotek.

Fałszywy Mailer-Daemon jako przynęta w atakach phishingowych

Fałszywy Mailer-Daemon to phishing udający komunikat serwera pocztowego, który ma skłonić Cię do zalogowania się na podrobionej stronie. Prawdziwy raport o niedoręczeniu to suchy komunikat techniczny, natomiast oszuści dopisują do niego przyciski i ponaglenia. Eksperci z zespołu CERT Polska regularnie ostrzegają przed kampaniami, w których napastnicy rozsyłają sfałszowane powiadomienia systemowe informujące o rzekomym zablokowaniu wiadomości przychodzących lub wyczerpaniu limitu miejsca na dysku⁶.

Cel takiego ataku jest zawsze ten sam: wywołanie silnego stresu, poczucia pośpiechu oraz lęku przed utratą ważnej korespondencji służbowej. W treści sfałszowanego maila przestępcy umieszczają przyciski z napisami w rodzaju „Kliknij tutaj, aby odblokować wiadomość” lub „Zaloguj się, aby zwiększyć limit poczty”. Odnośnik prowadzi do podrobionego panelu logowania, którego wyłącznym zadaniem jest wyłudzenie poświadczeń do konta w serwisach WP, Onet, Google czy Microsoft.

Rozpoznanie oszustwa jest proste, jeśli pamiętasz o podstawowej regule technicznej. Prawdziwy, wygenerowany przez serwer raport Mailer-Daemon / DSN jest wyłącznie technicznym zapisem nagłówków i kodów błędów, dlatego nigdy nie wymaga logowania na zewnętrznych stronach w celu „uwolnienia” zatrzymanego maila. Żaden serwer pocztowy nie oczekuje podania hasła, by ponowić wysyłkę. Podejrzane wiadomości próbujące wyłudzić dostęp do poczty można zgłaszać bezpośrednio do CERT Polska za pośrednictwem formularza incydent.cert.pl/phishing.

Specyfika poczty WP, Onet i Gmail: limity, pojemność i procedury wsparcia

W Gmailu, WP i Onecie zwroty Mailer-Daemon wyglądają podobnie, bo wszystkie serwery korzystają z tych samych kodów SMTP, ale każdy operator ma inne limity wysyłki. Przekroczenie limitu też kończy się zwrotem, więc przy wysyłce do wielu osób warto znać te progi.

W bezpłatnej usłudze Gmail (@gmail.com) obowiązują sztywne mechanizmy ograniczające dobową wysyłkę, stworzone z myślą o powstrzymywaniu masowego spamu. Przy wysyłaniu listów z poziomu przeglądarki internetowej obowiązuje limit 500 odbiorców na kroczący okres 24 godzin⁷. Jeśli do obsługi Gmaila wykorzystujesz program pocztowy łączący się przez protokół SMTP, limit ten wynosi maksymalnie 100 odbiorców na 24 godziny. W płatnym pakiecie Google Workspace pułap ten rośnie do 2000 odbiorców dziennie. Przekroczenie tych limitów blokuje możliwość nadawania wiadomości na czas od 1 do 24 godzin.

Gdy na Twoim koncie pojawi się komunikat mailer daemon wp, przyczyną problemu jest nierzadko próba przesłania zbyt ciężkich materiałów. Pomoc WP Poczty wskazuje, że maksymalny dopuszczalny łączny rozmiar załączników w pojedynczym mailu wynosi do 100 megabajtów⁸. Operator deklaruje wprawdzie nieograniczoną pojemność samej skrzynki pocztowej, zastrzega jednak możliwość nakładania ograniczeń transferowych w przypadku generowania nietypowego ruchu. WP Poczta nie podaje publicznie sztywnych, liczbowych limitów dobowych dla prywatnych kont, stosując dynamiczne filtry antyspamowe.pl, z konta dotkniętego problemem.

Z kolei raport oznaczony jako mailer daemon onet bardzo często wskazuje na przekroczenie parametrów objętościowych wiadomości. W usłudze Onet Poczta maksymalny dopuszczalny rozmiar wiadomości wraz ze wszystkimi załącznikami wynosi do 50 megabajtów. Onet Poczta również nie publikuje stałych, sztywnych limitów liczbowych dziennej korespondencji, opierając ochronę serwerów na dynamicznych filtrach bezpieczeństwa. Jeśli napotkasz błędy wysyłki w programach takich jak Thunderbird czy Outlook, pomoc Onetu zaleca w pierwszej kolejności wykonanie testu bezpośrednio w webmailu przez przeglądarkę internetową.