OAuth Mailversand

[mikefmmedia]

Hallo,

unsere Server-IT hat uns nahe gelegt, das wir den Mailversand ( aus der Webseite ) auf OAuth umstellen sollten, weil Basic Auth von Microsoft abgeschaltet wird und wir viele Kunden mit einem Microsoft-E-Mailkonto haben. Hat irgendjemand Infos bzgl Contao, gibt es da schon Lösungsansätze?


Hier ein Bericht dazu: https://inside.indeno.at/abschaffung...wissen-mussen/


PS: Wir verwenden Contao 4.13 und 5.3

[Spooky]

Einer der letzten Threads dazu: https://community.contao.org/de/show...l=1#post590069

[mikefmmedia]

Ok Danke!

Dann werde ich den Thread bzw die Links etwas beobachten.

[pipkin]

Ich hänge mich mal hier an, weil ich noch keine weiterführenden Infos gefunden habe.

Für den Email-Versand von unserer Contao-Website (5.3) wird nun in Microsoft Azure ein Client registriert, und ich bekomme dann bestimmte Werte für client_id, client_secret, authority...

Aber an welcher Stelle werden diese Informationen in Contao hinterlegt? Wie generiere ich den Code, den ich nun hinterlegen muss?
Auf den Suchbegriff "OAuth" tauchen zwar einige Erweiterungen auf, jedoch handelt es sich augenscheinlich um Contao-Logins und SSOs.

Mir fehlt die Einschätzung, wie weit dieses Thema eigentlich inzwischen gediehen ist, also ob man die Client-Informationen bereits bei Contao irgendwo hinterlegen kann (so wie bisher die SMTP-Infos, aber im Handbuch habe ich nichts gefunden) oder ob wir einen Entwickler beauftragen müssen, der speziell für unsere Website den benötigten Code erstellt. Und wenn ja - wäre das ein Fall für die Kleinstaufträge oder ist das dafür zu mächtig? Ich kann's halt absolut nicht einschätzen.

Vielen Dank!

[Spooky]

@pipkin siehe die Posts davor

[pipkin]

Meinst Du speziell den Link zu Github und den alternativen Weg über Graph API?

Ist das denn schon Teil von Contao 5.3?

Bzw. was bedeutet diese Zeile hier für mich?
"This gist also requires you to install microsoft/microsoft-graph and guzzlehttp/guzzle."

[Spooky]

Ist das denn schon Teil von Contao 5.3?

Siehe die Posts davor:

1. https://community.contao.org/de/show...l=1#post590434
2. https://community.contao.org/de/show...l=1#post590069
3. https://github.com/symfony/symfony/pull/52546
4. https://github.com/symfony/symfony/p...ent-2875346859
5. https://github.com/symfony/symfony/pull/60408

Kommt also evt. mit Symfony 7.4 (Contao 5.5+).

Wenn du es jetzt brauchst, dann kannst du eine der bestehenden Bundles versuchen, wie z.B. pmdevelopment/microsoft-symfony-mailer.

Oder du versuchst es mit Option 3 aus

1. https://community.contao.org/de/show...l=1#post590434
2. https://community.contao.org/de/show...l=1#post590069
3. https://learn.microsoft.com/en-us/ex...-or-office-365

[pipkin]

Vielen Dank für Deine Einschätzung, Spooky.

Wenn du es jetzt brauchst

Jetzt nicht, aber bevor SMTP abgeschaltet wird, ganz sicher.

Wenn es mit Contao 5.5+ kommt, hält es vermutlich keinen Einzug in die aktuelle LTS 5.3?

Falls nein, müssen wir damit rechnen, zwischen September 2025 bis mindestens Februar 2026 (nächstmögliches Update auf LTS 5.7, und das auch nur dann, wenn alle Erweiterungen soweit sind), nichts von der Website aus verschicken zu können. Die Möglichkeit einer alternativen Email mit Domain-Ähnlichkeit bei einem anderen Provider wird gerade als Notfallszenario diskutiert.

Und parallel frage ich dazu einen Entwickler an:

dann kannst du eine der bestehenden Bundles versuchen, wie z.B. pmdevelopment/microsoft-symfony-mailer.
Oder du versuchst es mit Option 3 aus

Dummerweise gibt es auch noch 4.13er-Installationen, die eigentlich erst mit Ende des Security-Zeitraums im Januar und Februar ihr Update auf 5.3 geplant haben. Ich finde Microsoft echt stressig...

Hoppla, gerade gefunden - verstehe ich das richtig, dass die Abschaltung auf März 2026 verschoben wurde? Das würde die ganze Situation ja entspannen.
https://techcommunity.microsoft.com/...p-auth/4114750

[Spooky]

Wenn es mit Contao 5.5+ kommt, hält es vermutlich keinen Einzug in die aktuelle LTS 5.3?

Contao 5.3 ist nicht mit Symfony 7 kompatibel - also du bekommst dort dieses Feature von Symfony nicht.

[neelix]

Im Zweifelsfall musst du ein Mailrelay dazwischen schalten, dass die Mails klassisch annimmt und per OAUTH2 Anmeldung bei Mircosoft einkippt.
Du kannst aber auch den Webserver "einfach so" versenden lassen. Vorausgesetzt die Reputation der IP ist gut genug, dass die Big Five ihr vertrauen. SPF und DKIM müssen aber stimmen. Technisch ist das machbar und legitim. Es dürfen problemlos mehrere unterschiedliche Server E-Mails unter einer gemeinsamen Domain versenden. Etwas tricky wird es ggf., dass der Haupt MX für diese Domain die Mails nicht als Spam verwirft, weil sie mit einer Absenderadresse aufschlagen, für die er sich alleinig zuständig fühlt. Die großen Anbieter machen das gerne um die Kunden und den Traffik an sich zu binden. Dem sollte man entgegenwirken.

[Spooky]

Falls nein, müssen wir damit rechnen, zwischen September 2025 bis mindestens Februar 2026 (nächstmögliches Update auf LTS 5.7, und das auch nur dann, wenn alle Erweiterungen soweit sind), nichts von der Website aus verschicken zu können.

Soweit ich das verstanden habe wird SMTP Relay (Option 3) weiterhin funktionieren (und ist sowieso die komfortablere Lösung).

Die Möglichkeit einer alternativen Email mit Domain-Ähnlichkeit bei einem anderen Provider wird gerade als Notfallszenario diskutiert.

Einen anderen Provider brauchst du ja nicht wirklich. Du kannst ja deinen eigenen Relay mit DKIM Signatur betreiben. Ab Symfony 7.3 (Contao 5.5+) kannst du auch direkt die E-Mails mit DKIM signieren lassen und - falls unterstützt - via sendmail direkt am Server verschicken lassen.

[neelix]

Microsoft hat das Zeitfenster von September auf März/ April verschoben. Wer trotzdem weiterhin SMTP mit Basic Auth braucht, muss entweder zu High Volume Email for Microsoft 365 oder Azure Communication Services Email wechseln. Ersteres befindet sich aktuell noch in einer kostenfreien Public Beta, dürfte danach aber ebenfalls kostenplichtig werden. (Die Kunden brauchen die Funktion, dann kann man sie auch problemlos zu Kasse bitten).

Fest steht aber, dass Basic Auth mit Exchange Online ab März 2026 schrittweise für alle Kunden abgeschaltet wird. Software, die bis dahin kein OAuth2 unterstützt wird, dann zum (ggf. teuren) Problemfall.

[pipkin]

Im Zweifelsfall musst du ein Mailrelay dazwischen schalten ...

Danke für diese Anregung. Das wäre eine weitere Option, die aber sicherlich auch sehr abstimmungsintensiv werden wird mit der jeweiligen IT-Abteilung.

Die befreiendste Lösung scheint mir eine alternative Absender-Adresse, die nicht bei Microsoft gehostet wird. Ist natürlich nicht so schön in der Kommunikation.
Und falls das nicht in Frage kommt, muss jetzt in ein Stück Individualsoftware investieren. Ein zeitnahes Update auf 5.5 scheint mir eher unrealistisch aufgrund der Abhängigkeiten.

Ein ITler hat bereits den Umstieg auf Wordpress vorgeschlagen. Das müssten sie dann mit jemand anderem machen.

[Spooky]

Hast du denn https://community.contao.org/de/show...l=1#post596492 schon versucht?

[pipkin]

Du kannst ja deinen eigenen Relay mit DKIM Signatur betreiben.

Geht das auf Azure? Bzw. würde Microsoft das für einen einrichten? Ich habe darauf keinen Zugriff...

[Spooky]

Geht das auf Azure? Bzw. würde Microsoft das für einen einrichten? Ich habe darauf keinen Zugriff...

Das hat nichts mit Microsoft zu tun. Solange du Kontrolle über die Domain hast, kannst du die E-Mails via DKIM signieren.

[neelix]

Das hat nichts mit Microsoft zu tun. Solange du Kontrolle über die Domain hast, kannst du die E-Mails via DKIM signieren.

Das ist sein Problem: Die Domaininhalte liegen bei Microsoft. Im schlimmsten Fall ist die die Domain noch über GoDaddy registiert und wird über das Microsoft Admin-Center verwaltet. Was Microsoft dann nicht will, geht dann nicht.

Wenn Du auf Azure z.b. eine Debian VM mit einem Postfix installieren kannst. Warum nicht.
Ich würde da ehr den kleinsten Cloud Server bei Hetzner für nehmen.

[pipkin]

Hast du denn https://community.contao.org/de/show...l=1#post596492 schon versucht?

Sorry, steh auf dem Schlauch... das sind Links entweder zu diesem Thread hier, zu laufenden oder geschlossenen Githubs, wo man die Implementierung in Symphony austüftelt und zu einer Entwicklung, die ich vermutlich zu Fuß irgendwie einbauen müsste, nehm ich an, die aber nicht nach einer Contao-Erweiterung aussieht. Ja, ich habe mir das alles angeschaut. Aber da ich kein PHP beherrsche, muss ich dafür einen Entwickler/ Programmierer beauftragen. Ich kann mit einzelnen PHP-Dateien nichts anfangen. Sonst wäre ich auch Programmiererin geworden! :-)

[Spooky]

Das ist sein Problem: Die Domaininhalte liegen bei Microsoft. Im schlimmsten Fall ist die die Domain noch über GoDaddy registiert und wird über das Microsoft Admin-Center verwaltet. Was Microsoft dann nicht will, geht dann nicht.

Verstehe nicht wie du das meinst. Entweder man hat die Kontrolle über die Domain, oder nicht - und sehr wahrscheinlich hat man die.

[pipkin]

Das hat nichts mit Microsoft zu tun. Solange du Kontrolle über die Domain hast, kannst du die E-Mails via DKIM signieren.

Auch dann, wenn die komplette Email-Verwaltung bei Microsoft liegt? Also alles per MX zu Microsoft routet?

[Spooky]

und zu einer Entwicklung, die ich vermutlich zu Fuß irgendwie einbauen müsste, nehm ich an, die aber nicht nach einer Contao-Erweiterung aussieht.

Genau, sind ja nur zwei Dateien, die du erzeugen/anpassen musst (habe es aber bisher selbst noch nicht versucht).

Und Option 3 steht dir (vielleicht) auch immer noch offen (SMTP Relay).

[Spooky]

Auch dann, wenn die komplette Email-Verwaltung bei Microsoft liegt? Also alles per MX zu Microsoft routet?

Ja, es hat wie gesagt nichts mit Microsoft zu tun. Du kannst beliebig viele DKIM Keys bzw. Selector in deiner Domain eintragen.

[neelix]

Genau, sind ja nur zwei Dateien, die du erzeugen/anpassen musst.

Und Option 3 steht dir (vielleicht) auch immer noch offen (SMTP Relay).

Option 3 funktioniert ab März/ April nur noch mit OAUTH2. Wer dann noch Basic Auth braucht, muss dafür auf ein anderes kostenpflichtiges Produkt wechseln.

Ja, es hat wie gesagt nichts mit Microsoft zu tun. Du kannst beliebig viele DKIM Keys bzw. Selector in deiner Domain eintragen.

Technisch ist das richtig, kommt aber darauf an, wie die Domain verwaltet wird. Liegt die Verwaltung bei einem freien Anbieter, dann sollte ein flexibles Setup möglich sein.
Liegt sie aber beim einem Microsoft Partner und wird quasi "automatisch" verwaltet, dann übernimmt Microsoft die Pflege der DNS Records. Und dann geht nur, was Microsoft den Kunden anbietet.

[Spooky]

Option 3 funktioniert ab März/ April nur noch mit OAUTH2. Wer dann noch Basic Auth braucht, muss dafür auf ein anderes kostenpflichtiges Produkt wechseln.

Was genau meinst du mit Option 3 in diesem Zusammenhang? Option 3 (STMP Relay) hat keine Authentifizierung.

[Spooky]

Technisch ist das richtig, kommt aber darauf an, wie die Domain verwaltet wird. Liegt die Verwaltung bei einem freien Anbieter, dann sollte ein flexibles Setup möglich sein.
Liegt sie aber beim einem Microsoft Partner und wird quasi "automatisch" verwaltet, dann übernimmt Microsoft die Pflege der DNS Records. Und dann geht nur, was Microsoft den Kunden anbietet.

Ich kann mir nicht vorstellen, dass man bei GoDaddy, oder wo auch immer, nicht beliebige DNS Records anlegen lassen kann.

[neelix]

Ohne Authentifizierung kann ich Mails nur an Empfänger im eigenen Tenant verschicken. Aber auch diese Funktion nimmt Microsoft aus M365 raus und verlagert sie (kostenpflichtig) zu High Volume Email for Microsoft 365. Will man an eigene Domains und an Externe schicken, dann muss man Azure Communication Services Email buchen.

[Spooky]

Ohne Authentifizierung kann ich Mails nur an Empfänger im eigenen Tenant verschicken.

Nein, mit Option 3 (SMTP Relay) kannst du an alle senden.

[pipkin]

Also ich sehe da

transport/GraphClient.php
transport/GraphSendMailTransport.php
transport/GraphTransportFactory.php

sowie
.gitignore
und
composer.json

Dann gibt es eine services.yaml (ich nehm an die ist im Verzeichnis "config" erstmal zu erstellen).

Die Parameter für die env versteh ich sogar.

Wohin müssen die transport-Dateien und die gitignore? Wird das eine manuell installierte Erweiterung, gehört das alles in
system/vendor/pmdevelopment/microsoft-symfony-mailer ?
Und gehört "Transport" dazu oder ist das nur ein Github-Verzeichnis?

Muss ich den Inhalt der composer.json inkl. aller geschweiften Klammern unter meine bestehende composer.json schreiben?

Vielleicht sollte ich erstmal ein Backup machen..........

Aber die Einträge in der composer.json haben da drin stehen

"require-dev": {
"symfony/http-client": "^7.0"
},

Contao 5.3 ist nicht mit Symfony 7 kompatibel - also du bekommst dort dieses Feature von Symfony nicht.

Dann kann ich das doch gar nicht ausprobieren.....?!

[neelix]

Noch geht das. Ab März dann nicht mehr.

If you are a customer who must use Basic auth with Client Submission (SMTP AUTH), you will need to switch to one of the following alternatives before March 2026:

If you are using Basic auth with Client Submission (SMTP AUTH) to send emails to recipients internal to your tenant, you can use High Volume Email for Microsoft 365.
If you are using Basic auth with Client Submission (SMTP AUTH) to send emails to recipients internal and external to your tenant, you can use Azure Communication Services Email.

[zoglo]

Dann kann ich das doch gar nicht ausprobieren.....?!

Wenn du neue Features möchtest, musst du auf eine neuere Version aktualisieren, genau.

[Spooky]

Also ich sehe da

transport/GraphClient.php
transport/GraphSendMailTransport.php
transport/GraphTransportFactory.php

sowie
.gitignore
und
composer.json

Dann gibt es eine services.yaml (ich nehm an die ist im Verzeichnis "config" erstmal zu erstellen).

Die Parameter für die env versteh ich sogar.

Wohin müssen die transport-Dateien und die gitignore? Wird das eine manuell installierte Erweiterung, gehört das alles in
system/vendor/pmdevelopment/microsoft-symfony-mailer ?
Und gehört "Transport" dazu oder ist das nur ein Github-Verzeichnis?

Muss ich den Inhalt der composer.json inkl. aller geschweiften Klammern unter meine bestehende composer.json schreiben?

Vielleicht sollte ich erstmal ein Backup machen..........

Aber die Einträge in der composer.json haben da drin stehen

"require-dev": {
"symfony/http-client": "^7.0"
},



Dann kann ich das doch gar nicht ausprobieren.....?!

Du führst zuerst einfach nur composer require pmdevelopment/microsoft-symfony-mailer aus. Das installiert dir dann Version 1.1.1, welche mit Contao 5.3 kompatibel ist. Die config/services.yaml erstellst du in deinem Projekt selbst (siehe https://docs.contao.org/dev/getting-...nd-controllers).

- - - Aktualisiert - - -

Noch geht das. Ab März dann nicht mehr.

Das gilt nur, wenn du Basic Auth benutzt, also nicht den SMTP Relay.

[neelix]

Dafür brauche ich eine IP-Adresse zur alleinigen Nutzung. IP basiertes Relay kommt doch nur in Frage, wenn das kein Shared-Hosting-Server ist.


Aber ich gehe fest davon aus, dass Microsoft auch diese Option abschalten wird, wenn das neue Produkt reif für die Öffentlichkeit ist. Sonst hätten sie das nicht entwickeln müssen und alle könnten weitermachen wie bisher.

[Spooky]

Dafür brauche ich eine IP-Adresse zur alleinigen Nutzung. IP basiertes Relay kommt doch nur in Frage, wenn das kein Shared-Hosting-Server ist.

Das Risiko kannst du dann ja eingehen, nach deinem Ermessen.

[pipkin]

Wenn du neue Features möchtest, musst du auf eine neuere Version aktualisieren, genau.

Das ist mir klar. Deswegen wollte ich die Angelenheit einem Entwickler übergeben, weil das Feature ja viel früher benötigt wird als das nächste LTS-Update realistisch wäre. Aber Spooky meinte, ich sollte das ausprobieren. Das läuft aber nur unter 5.5., ich hab aber 5.3. Deswegen meine Frage.

[Spooky]

Das läuft aber nur unter 5.5., ich hab aber 5.3.

Nein, es läuft auch unter 5.3 (siehe oben).

[pipkin]

Du führst zuerst einfach nur composer require pmdevelopment/microsoft-symfony-mailer aus. Das installiert dir dann Version 1.1.1, welche mit Contao 5.3 kompatibel ist. Die config/services.yaml erstellst du in deinem Projekt selbst (siehe https://docs.contao.org/dev/getting-...nd-controllers).

Vielen Dank für Eure Erklärungen. Aber - ich hatte ja bereits darauf hingewiesen - ich bin keine Entwicklerin und kann deswegen auch keine Controller selbst getten oder eine yaml selbst schreiben. Sorry, wir hätten den Ausflug ins "hast du das schon ausprobiert" abkürzen können in "das kann ich nicht", aber da ging ich noch davon aus, dass es ja nur um ein paar Dateien geht, die von A nach B müssen und um eine Anpassung.

Vielen vielen Dank allen, ich bin jetzt einigermaßen im Bilde, denke ich. Wir warten auf die LTS 5.7 und bis dahin müssen wir irgendeine Notlösung finden oder eben das benötigte von jemandem Scripten lassen, der sich damit auskennt.

[Spooky]

Vielen Dank für Eure Erklärungen. Aber - ich hatte ja bereits darauf hingewiesen - ich bin keine Entwicklerin

Im Zweifelsfall kannst du dir ja bezahlte Hilfe holen.

aber da ging ich noch davon aus, dass es ja nur um ein paar Dateien geht, die von A nach B müssen und um eine Anpassung.

Das ist ja grundsätzlich auch der Fall.

Wir warten auf die LTS 5.7 und bis dahin müssen wir irgendeine Notlösung finden

Noch ist der PR bei Symfony nicht gemerged.

[pipkin]

Im Zweifelsfall kannst du dir ja bezahlte Hilfe holen.

Klar, das war ja auch mein Ausgangspunkt. S. Ausgangsfrage: Falls es noch keine Lösung gibt, ist das ein Fall für Kleinstaufträge oder ist das dafür zu groß?

Ich brauche eine Lösung für 5.3 und nach Möglichkeit auch 4.13.

[Spooky]

Für beides gibt es es eine mögliche Lösung (siehe oben).

[pipkin]

Wenn mann das kann

config/services.yaml erstellst du in deinem Projekt selbst

, die Dokumentation für Entwickler versteht und über die Konsole installieren kann, gibt es vermutlich eine Lösung, die für Menschen wie mich aber eben theoretisch ist. Aber das ist ein guter Ansatz, vielen Dank. Das werde ich einfach so an einen Programmierer geben und ein Angebot einholen.