Was gebe ich hier ein, die Domain oder einen Host?

Einen Host, also den Servernamen, auf dem IMAP, POP3 und die SMTP-Einlieferung laufen, zum Beispiel mail.example.com. Welcher Host das für eine Domain ist, verrät der Autoconfig Check oder die Anleitung des Anbieters.

Warum werden alle sechs Ports geprüft?

143 und 993 sind IMAP (STARTTLS bzw. implizites TLS), 110 und 995 POP3, 587 und 465 die Mail-Einlieferung. Ein Server bietet meist nur einen Teil davon an; geschlossene Ports sind kein Fehler.

Was bedeutet LOGINDISABLED?

Eine IMAP-Fähigkeit aus RFC 2595. Steht sie im CAPABILITY vor der TLS-Aushandlung, lehnt der Server eine Klartext-Anmeldung ab. Fehlt sie, könnte ein Client Zugangsdaten unverschlüsselt senden.

Warum ist ein ungültiges Zertifikat hier ein Fehler, beim SMTP Test aber nur ein Hinweis?

Auf Port 25 ist Transportverschlüsselung opportunistisch: der sendende Server nutzt sie, wenn möglich, akzeptiert aber auch ein schlechtes Zertifikat. Mailprogramme auf den Client-Ports prüfen das Zertifikat streng und brechen bei einem Fehler ab.

Testet das Werkzeug meine Anmeldedaten?

Nein. Es sendet nie ein LOGIN-, USER- oder AUTH-Kommando. Geprüft werden nur Verbindung, TLS, Zertifikat und die vom Server angebotenen Fähigkeiten.

Soll ich 143/110 überhaupt anbieten?

RFC 8314 empfiehlt, auf die impliziten TLS-Ports 993/995/465 zu setzen. Wenn 143/110/587 offen bleiben, müssen sie STARTTLS anbieten und eine Anmeldung vor TLS verweigern.

IMAP/POP3/SMTP TLS Test

Einen Mailserver-Host auf den Client-Ports 143/993/110/995/587/465 prüfen: TLS, Zertifikat, Fähigkeiten.

Dieser Test verbindet sich mit einem Mailserver-Host so, wie es ein Mailprogramm beim Abrufen und Versenden täte: auf den sechs Client-Ports für IMAP, POP3 und die SMTP-Mail-Einlieferung (Submission, Ports 587 und 465, nicht der Server-zu-Server-Transport auf Port 25). Er beantwortet die Frage, ob ein Client eine sichere, verschlüsselte Verbindung aufbauen kann und ob Zugangsdaten dabei geschützt sind. Anders als beim SMTP-Transport auf Port 25 ist hier ein gültiges, zum Hostnamen passendes Zertifikat Pflicht, denn Mailprogramme lehnen eine nicht vertrauenswürdige Verbindung ab.

Was dieses Werkzeug prüft

Eingegeben wird ein Host, kein Domainname: der Server, auf dem IMAP, POP3 und die SMTP-Einlieferung tatsächlich laufen (oft mail.example.com oder imap.example.com). Welcher Host das ist, sagt der Autoconfig Check. Geprüft werden je Port: TCP-Erreichbarkeit und Verbindungszeit, das Begrüßungsbanner, die ausgehandelte TLS-Version und Cipher-Suite, das Zertifikat (Kette gegen die öffentlichen CAs, Laufzeit und Abgleich mit dem eingegebenen Hostnamen), die per CAPABILITY / CAPA / EHLO angebotenen Fähigkeiten und die AUTH-Mechanismen. Auf den Klartext-Ports 143, 110 und 587 prüft es zusätzlich, ob STARTTLS bzw. STLS überhaupt angeboten wird und ob der Server eine Anmeldung schon vor der TLS-Aushandlung zulässt. Es wird keine Anmeldung versucht, kein LOGIN, USER oder AUTH-Kommando gesendet.

Das Ergebnis lesen

Ein Port, der keine Verbindung annimmt, ist kein Fehler: kaum ein Server bietet alle sechs Ports an. Wichtig sind die Ports, die antworten. Grün ist ein Port, wenn die TLS-Verbindung steht, die Zertifikatskette gültig ist und der Hostname passt. Ein nicht vertrauenswürdiges oder abgelaufenes Zertifikat und ein Hostname, der nicht zum Zertifikat passt, sind hier ein Fehler, kein bloßer Hinweis. Als Warnung erscheinen eine TLS-Version unter 1.2, ein zu kurzer RSA-Schlüssel, ein bald ablaufendes Zertifikat und der Fall, dass ein Klartext-Port eine Anmeldung vor STARTTLS erlaubt. Bietet ein Klartext-Port gar kein STARTTLS an, ist das ein Fehler, weil ein Client dann Zugangsdaten unverschlüsselt sendet oder die Verbindung scheitert.

Grundlagen

Die Verschlüsselung von IMAP und POP3 ist in RFC 2595 beschrieben, das auch die Fähigkeit LOGINDISABLED einführt: ist sie im Vor-TLS-CAPABILITY gesetzt, verweigert der Server die Klartext-Anmeldung. IMAP selbst ist RFC 3501, POP3 RFC 1939 mit der CAPA-Erweiterung aus RFC 2449, die Mail-Einlieferung RFC 6409. RFC 8314 empfiehlt heute die impliziten TLS-Ports 993, 995 und 465 gegenüber STARTTLS auf 143, 110 und 587, weil ein Angreifer im Netzweg das STARTTLS-Angebot aus dem Klartext-Vorlauf entfernen und so ein Downgrade erzwingen kann.

Typische Fehlerbilder und wie man sie behebt

Zertifikat passt nicht zum Hostnamen. Das Zertifikat lautet auf example.com, der Client verbindet sich aber zu mail.example.com. Ein Zertifikat mit dem richtigen Namen (oder einem passenden SAN) ausstellen.
Selbstsigniertes oder abgelaufenes Zertifikat. Mailprogramme brechen die Verbindung ab. Ein Zertifikat einer öffentlichen CA einsetzen und die Erneuerung automatisieren.
Klartext-Port ohne STARTTLS. Port 143 oder 110 ist offen, bietet aber kein STARTTLS / STLS. Entweder STARTTLS aktivieren oder den Klartext-Port schließen und nur 993/995 anbieten.
Anmeldung vor TLS möglich. Auf 143 fehlt LOGINDISABLED, auf 110 wird USER vor STLS angeboten, auf 587 AUTH vor STARTTLS. Den Server so konfigurieren, dass eine Anmeldung erst nach erfolgreichem TLS möglich ist.
Alte TLS-Version. Der Port handelt noch TLS 1.0/1.1 aus. TLS 1.2 als Minimum erzwingen, TLS 1.3 zulassen.

Häufige Fragen

Was gebe ich hier ein, die Domain oder einen Host?: Einen Host, also den Servernamen, auf dem IMAP, POP3 und die SMTP-Einlieferung laufen, zum Beispiel mail.example.com. Welcher Host das für eine Domain ist, verrät der Autoconfig Check oder die Anleitung des Anbieters.
Warum werden alle sechs Ports geprüft?: 143 und 993 sind IMAP (STARTTLS bzw. implizites TLS), 110 und 995 POP3, 587 und 465 die Mail-Einlieferung. Ein Server bietet meist nur einen Teil davon an; geschlossene Ports sind kein Fehler.
Was bedeutet LOGINDISABLED?: Eine IMAP-Fähigkeit aus RFC 2595. Steht sie im CAPABILITY vor der TLS-Aushandlung, lehnt der Server eine Klartext-Anmeldung ab. Fehlt sie, könnte ein Client Zugangsdaten unverschlüsselt senden.
Warum ist ein ungültiges Zertifikat hier ein Fehler, beim SMTP Test aber nur ein Hinweis?: Auf Port 25 ist Transportverschlüsselung opportunistisch: der sendende Server nutzt sie, wenn möglich, akzeptiert aber auch ein schlechtes Zertifikat. Mailprogramme auf den Client-Ports prüfen das Zertifikat streng und brechen bei einem Fehler ab.
Testet das Werkzeug meine Anmeldedaten?: Nein. Es sendet nie ein LOGIN-, USER- oder AUTH-Kommando. Geprüft werden nur Verbindung, TLS, Zertifikat und die vom Server angebotenen Fähigkeiten.
Soll ich 143/110 überhaupt anbieten?: RFC 8314 empfiehlt, auf die impliziten TLS-Ports 993/995/465 zu setzen. Wenn 143/110/587 offen bleiben, müssen sie STARTTLS anbieten und eine Anmeldung vor TLS verweigern.