Почта: 554 5.7.1 Relay access denied

#Что означает ошибка

«Relay access denied» — защита от открытой почтовой ретрансляции: сервер отказывается пересылать письмо на адрес чужого домена, если отправитель не прошёл аутентификацию или не находится в доверенной сети. Для клиента это значит: нужно включить «SMTP-серверу требуется проверка подлинности». Для администратора сервера: проверить mynetworks, smtpd_relay_restrictions (Postfix) и домены получателей.

#Причины и решения

#Пошаговое решение

1. Проверьте адрес получателяОткройте возвращённое письмо с диагностикой SMTP и найдите точную строку 554 5.7.1 Relay access denied и адрес сервера, который её выдал. Это не то же самое, что «получатель не существует». Запишите, в какой момент отказ: при отправке из клиента, при перенаправлении или между серверами. Если адрес получателя чужой, владелец почтового сервера не обязан разрешать открытую ретрансляцию.
2. Включите авторизацию в почтовой программеВ почтовой программе откройте настройки аккаунта → «Исходящая почта (SMTP)»: проверьте адрес сервера и порт, которые дал провайдер, включённую авторизацию и выбранный тип шифрования. Для клиентской отправки обычно используется 587 с STARTTLS или 465 с TLS — точное значение берите из инструкции провайдера. Сохраните настройки и отправьте одно тестовое письмо; не пытайтесь использовать порт 25 для пользовательской отправки, если он запрещён провайдером.
3. Укажите порт и шифрованиеУбедитесь, что имя пользователя SMTP — полный адрес почты там, где этого требует провайдер, а пароль или пароль приложения относится к нужному ящику. При многофакторной защите может требоваться отдельный пароль приложения или современная авторизация. Не вставляйте пароль в команды, журналы или публичные обращения. Если вход отклонён, сначала исправляйте авторизацию, не открывайте ретрансляцию для всех адресов.
4. Используйте SMTP своего почтового сервисаАдминистратор Postfix: по SSH выполните postconf -n | grep -E "^(mynetworks|smtpd_relay_restrictions|smtpd_recipient_restrictions|smtpd_sasl_auth_enable)" и sudo postfix check. Сравните настройки с официальной конфигурацией вашего сервера: в relay restrictions должны быть разрешены доверенные клиенты и аутентифицированные пользователи при запрете остальных. Не устанавливайте mynetworks = 0.0.0.0/0: это превратит сервер в открытый ретранслятор.
5. Для сервера: проверьте mynetworksЕсли сообщение получает только один адресат, проверьте, чей сервер вернул код, и относится ли домен получателя к локальным или виртуальным доменам Postfix. Сравните значения mydestination, virtual_mailbox_domains и relay_domains через postconf, не изменяя их без проверки схемы доставки. Проверьте существование почтового ящика, затем отправьте тестовое сообщение. Не отключайте ограничения безопасности для обхода 554.
6. Для сервера: проверьте ограниченияДля диагностики откройте журнал SMTP на сервере (sudo journalctl -u postfix -n 100 --no-pager или настроенный файл mail.log), повторите отправку и найдите строку по времени и адресу. Запишите сервер, код отказа и наличие SASL-аутентификации без паролей. Если конфигурацию менял администратор, сначала выполните sudo postfix check, затем sudo systemctl reload postfix и проверьте отправку на собственный внешний адрес.
7. Для сервера: проверьте доменыЕсли все параметры корректны, но отказ происходит только из определённой сети, проверьте межсетевой экран и правила провайдера: исходящее соединение на 587 должно доходить до сервера SMTP, а ответ сервера — соответствовать вашему логину. Передайте поддержке домен, порт, время и диагностический код без паролей. Не отключайте TLS и не повторяйте бесконечно отправку письма с персональными данными.
8. Команды для отдельных ситуацийВыберите только подходящий вариант. Это не одна последовательность: часть команд диагностирует проблему, а часть меняет настройки или данные.
   Выберите подходящий вариант — это не команды для последовательного выполнения

   Вариант 1Диагностика Postfix и проверка отправки с аутентификацией.

   Linux · Терминал (Bash)С осторожностьюНужен sudoКопировать всёВыделить

   Диагностика Postfix и проверка отправки с аутентификацией.

   postconf mynetworks smtpd_relay_restrictions smtpd_recipient_restrictions virtual_mailbox_domains

   sudo postfix check

   sudo systemctl reload postfix

   sudo tail -n 30 /var/log/mail.log

   Команда может изменить состояние системы или её настройки. Проверьте параметры и последствия перед запуском.

   Вариант 2Типовой безопасный набор ограничений relay в main.cf.

   INIКопировать всёВыделить

   Типовой безопасный набор ограничений relay в main.cf.

   smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination
   smtpd_sasl_auth_enable = yes
   smtpd_tls_security_level = may

9. Перезагрузите PostfixПосле исправления отправьте по одному тестовому письму на локальный и внешний адрес, проверьте папку «Отправленные» и фактическое получение. В журнале не должно быть новых Relay access denied для этих попыток. Если отказ сохраняется, верните прежние параметры и сравните результаты диагностики до и после — это укажет, какую часть цепочки ещё надо проверить.

Не добавляйте в mynetworks публичные подсети и не используйте permit без условий: открытый relay быстро попадёт в чёрные списки спамеров, а письма вашего домена перестанут доходить. Проверить репутацию IP можно на mxtoolbox.com. Если вы используете внешний почтовый хостинг, ошибка 554 нередко означает, что в клиенте указан неверный сервер (исходящий вместо входящего). Ещё одна причина — отправка с адреса домена, которого нет на этом сервере. Документация — Postfix.