Autodiscover Check
Exchange Autodiscover prüfen: DNS-Einträge, Zertifikat und ein anonymer Endpunkt-Test auf Port 443.
Autodiscover ist der Weg, über den Outlook für eine E-Mail-Adresse den zuständigen Exchange-Server findet. Dieser Test prüft die DNS-Einträge autodiscover.<domain> und _autodiscover._tcp.<domain> (SRV) und kontaktiert daraus einen HTTPS-Endpunkt auf Port 443 (den autodiscover-Host, sonst das SRV-Ziel, sonst die Domain selbst).
Am Endpunkt wird das TLS-Zertifikat geprüft (Kette, Laufzeit und ob es den Autodiscover-Hostnamen abdeckt, was Outlook zwingend verlangt) und ein Verbindungstest gemacht: ein AutodiscoverV1-Aufruf, der bei gesundem Exchange mit 401 und den angebotenen Authentifizierungsverfahren antwortet.
Aus der Antwort lassen sich ohne jede Anmeldung Server-Informationen ableiten: die Exchange-Version aus dem X-OWA-Version-Header, interne Server- und Domänennamen sowie die Windows-Build-Nummer aus der NTLM-Aushandlung, dazu Header wie Server, X-FEServer und X-BEServer. Das ist zugleich ein Härtungsbefund. Zeigt die Domain auf Microsoft 365, endet der Test mit einem Hinweis.
Häufige Fragen
- Wird eine Anmeldung versucht?
- Nein. Der Test sendet nur den ersten Aushandlungsschritt (NTLM Type 1), liest die Antwort des Servers und bricht ab. Es werden nie Zugangsdaten oder ein Type-3-Token gesendet.
- Warum ist eine 401-Antwort ein gutes Zeichen?
- Der AutodiscoverV1-Endpunkt soll eine Anmeldung verlangen. Eine 401 mit WWW-Authenticate ist die erwartete Antwort auf einen anonymen Aufruf; eine vollständige Antwort ohne Anmeldung wäre eine Fehlkonfiguration.
- Was heißt 'deckt den Autodiscover-Hostnamen nicht ab'?
- Das TLS-Zertifikat auf autodiscover.<domain> muss genau diesen Namen als SAN enthalten. Ein Zertifikat nur für mail.<domain> oder owa.<domain> führt in Outlook zu einer Zertifikatswarnung.
- Wie kommt der Test an die Exchange-Version?
- On-Premises-Exchange sendet den Build auf vielen Versionen im Header <code>X-OWA-Version</code> mit, auch in der 401-Antwort des Autodiscover-Endpunkts. Daraus liest der Test die Version (2013 / 2016 / 2019 / SE) und ob sie noch Sicherheitsupdates bekommt. Die genaue CU steht in Microsofts Build-Tabelle.
- Meine Domain nutzt Microsoft 365, warum kommt kein Testergebnis?
- Bei Exchange Online läuft Autodiscover über die Microsoft-Infrastruktur (CNAME auf autodiscover.outlook.com bzw. MX auf mail.protection.outlook.com). Dort gibt es für einen externen Test nichts zu prüfen; wir zeigen nur den erkannten Zustand.