Зачем проверять SMTP, если DNS-записи в порядке
SPF, DKIM и DMARC отвечают на вопрос «можно ли доверять письмам от вашего домена». Но письмо сначала должно физически дойти: отправитель находит MX, подключается к серверу на порт 25, здоровается и передаёт письмо. Если сервер не отвечает, отвечает отказом, не умеет шифрование или стоит без обратной записи, письма теряются, возвращаются с ошибкой или уходят в спам — и DNS-проверка этого не покажет.
Мы повторяем первые шаги настоящего отправителя: подключаемся к каждому MX, ждём приветствие, отправляем EHLO, включаем шифрование STARTTLS и смотрим сертификат. После этого сразу говорим QUIT. Письма не отправляются, адреса получателей не перебираются, открытый релей не проверяется.
Что проверяем
| Проверка | Что смотрим | Почему важно |
|---|---|---|
| MX и адреса | Есть ли MX, на какие имена указывают, есть ли у них публичные адреса | MX на внутренний адрес или имя без адреса — письма не доставляются |
| Порт 25 | Принимает ли сервер соединение и что отвечает: код 220 или отказ | Через порт 25 к вам приходят все письма из интернета |
| EHLO | Отвечает ли сервер на EHLO, какие расширения объявляет, лимит размера письма | По EHLO отправитель узнаёт про шифрование и максимальный размер письма |
| STARTTLS | Поддерживается ли, версия TLS, срок сертификата, совпадение имени | Без шифрования письма идут открытым текстом, Gmail помечает их красным замком |
| PTR и FCrDNS | Есть ли обратная запись у IP и указывает ли её имя обратно на тот же IP | Без PTR письма с сервера отклоняют или кладут в спам |
| Порты 465 и 587 | Открыты ли порты отправки на MX (только соединение, без входа) | Нужны, если сайт и сотрудники отправляют почту через этот сервер |
| Спам-листы | Адреса MX в Spamhaus ZEN, SpamCop, Barracuda | Адрес в спам-листе — массовые отказы в доставке ваших писем |
| SPF и DMARC | Есть ли по одной записи | Без них письма с домена чаще попадают в спам |
Как читать результат
- Сервер не принимает соединения на порт 25. Входящие письма копятся у отправителей и через несколько дней возвращаются. Проверьте, запущен ли почтовый сервер, открыт ли порт 25 в фаерволе и у хостинга, не устарел ли MX после переезда.
- Код приветствия не 220. Сервер отвечает отказом сразу после подключения: перегружен, ограничен по адресам или неправильно настроен. Смотрите журнал почтового сервера.
- Нет STARTTLS. Почта работает, но без шифрования. Включите STARTTLS и поставьте сертификат — подойдёт бесплатный Let’s Encrypt.
- Сертификат на другое имя или истёк. Обычная доставка продолжит работать, но отправители со строгой проверкой (MTA-STS, банки, госсервисы) откажутся. Выпустите сертификат на имя из MX.
- Нет PTR или он не подтверждается. Если с этого же сервера уходят письма, крупные сервисы их режут. PTR настраивает владелец IP — хостинг или провайдер.
- Адрес в спам-листе. Найдите источник рассылки (взломанный ящик, форма на сайте, заражённый сервер), устраните его и запросите исключение по процедуре списка.
Если мы не смогли проверить порт 25
Многие хостинги закрывают исходящий порт 25, чтобы с их серверов не рассылали спам. Если ни один почтовый сервер не ответил, мы проверяем контрольные серверы Яндекса и Google. Когда и они недоступны, проблема на нашей стороне, и отчёт честно пишет «не удалось проверить порт 25 с нашего сервера», а не обвиняет ваш домен. Обратная запись, спам-листы, SPF и DMARC в этом случае всё равно проверяются полностью.
Свой почтовый сервер: минимальный чек-лист
- MX указывает на имя с A-записью, а не на IP и не на CNAME.
- Порт 25 открыт в фаерволе сервера и у хостинга для входящих соединений.
- Сертификат выпущен на имя из MX и продлевается автоматически.
- PTR IP-адреса указывает на это же имя, а имя — обратно на IP.
- Включены TLS 1.2 и 1.3, отключены SSLv3, TLS 1.0 и 1.1.
- На портах 465/587 стоит ограничение попыток входа (fail2ban), пароли ящиков стойкие.
- Одна SPF-запись, DKIM-подпись и DMARC с отчётами — без них доставку не спасёт и идеальный сервер.
Что проверка не делает
- Не отправляет писем и не проверяет ящики. Мы не говорим серверу MAIL FROM и RCPT TO, поэтому ни один адрес не перебирается.
- Не ищет открытый релей и не подбирает пароли. Порты 465 и 587 только проверяем на доступность.
- Не видит исходящую почту сайта. Если письма с сайта не уходят, причина обычно в SMTP-настройках сайта — смотрите статью SMTP не работает: почему сайт не отправляет письма.
Проверка бесплатная, лимит — 10 проверок в сутки с одного адреса. Проверяйте свои домены или домены клиентов с их разрешения. Что означают коды ошибок в возвращённых письмах — в статье 4.x.x и 5.x.x для оператора поддержки, про обратную запись — PTR почтового сервера. Если нужна помощь, настроим почтовый сервер или перенесём почту на надёжный сервис в рамках услуги корпоративной почты. Заодно проверьте срок регистрации домена и DNS.
Вопросы и ответы
Как проверить SMTP-сервер онлайн?
Введите домен в поле проверки. Мы найдём MX-записи, подключимся к каждому серверу на порт 25, отправим EHLO, проверим STARTTLS и сертификат, обратную запись, порты 465/587 и спам-листы.
Вы отправляете тестовое письмо?
Нет. Разговор с сервером заканчивается после EHLO и STARTTLS командой QUIT. Мы не передаём ни отправителя, ни получателя, поэтому в журнале сервера останется только короткое подключение.
Почему проверка пишет, что порт 25 не удалось проверить?
Исходящий порт 25 часто закрывают хостинги, в том числе наш. Если не отвечают ни ваши серверы, ни контрольные серверы Яндекса и Google, мы не можем судить о вашем домене и пишем об этом прямо. Проверьте приём, отправив письмо с внешнего ящика.
Нужен ли STARTTLS на почтовом сервере?
Да. Без него письма передаются открытым текстом, Gmail показывает у них красный значок, а отправители с обязательным шифрованием не смогут вам написать. Сертификат Let’s Encrypt бесплатный и продлевается автоматически.
Что такое FCrDNS?
Двусторонняя проверка: обратная запись IP-адреса (PTR) даёт имя, а A-запись этого имени ведёт обратно на тот же IP. Многие почтовые серверы требуют её от отправителей.
Чем эта проверка отличается от проверки почты домена?
Проверка почты домена читает DNS-записи: MX, SPF, DKIM, DMARC. Диагностика SMTP подключается к самим почтовым серверам и проверяет, что они реально принимают письма и шифруют соединение. Для полной картины запустите обе.
Проверка бесплатная?
Да, без регистрации. Лимит — 10 проверок в сутки с одного адреса.