Wird eine Testmail verschickt?

Nein. Der Test beendet die Sitzung nach EHLO und STARTTLS mit QUIT. Es gibt kein MAIL FROM, kein RCPT TO und kein DATA, also keine zugestellte Nachricht und keinen Open-Relay-Test.

Wie wird das Zertifikat geprüft?

Die TLS-Verbindung wird verifizierend aufgebaut: die Kette muss zu einer öffentlichen CA führen, der MX-Hostname muss abgedeckt und das Zertifikat gültig sein. Schlägt das fehl, wird der Grund gezeigt (selbstsigniert, unbekannte CA, Hostname passt nicht, abgelaufen). Ohne MTA-STS oder DANE ist das auf Port 25 nur ein Hinweis.

Mein Mailserver antwortet nicht, woran kann das liegen?

Firewall blockt eingehend Port 25, der MTA lauscht auf einem anderen Port oder gar nicht, oder der MX-Record zeigt auf einen Host ohne laufenden Mailserver. Der MX Lookup zeigt, welchen Host der SMTP Test überhaupt kontaktiert.

Was bedeutet es, wenn Port 25 blockiert ist?

Zwischen Testquelle und Zielserver kommt keine Verbindung auf Port 25 zustande. Ausgehend sperren viele Provider Port 25 gegen Spam-Versand, eingehend eine restriktive Firewall am Zielserver. Für die E-Mail-Annahme muss eingehend Port 25 offen sein.

Warum dauert der Test einen Moment?

Jeder MX-Host wird nacheinander mit echten Netzwerk-Timeouts kontaktiert, inklusive TLS-Handshake. Der Test läuft im Hintergrund, das Ergebnis erscheint automatisch, sobald alle Hosts durch sind.

Warum wird ein Host als 'Cooldown' übersprungen?

Damit dieselbe Ziel-IP nicht im Minutentakt kontaktiert wird (Schutz vor Fehlalarmen und Ratenbegrenzungen bei den Zielservern), gilt pro Ziel-IP eine kurze Sperre zwischen zwei Tests.

SMTP Test

Verbindet sich mit den MX-Servern einer Domain und prüft Port 25, EHLO und STARTTLS.

Der SMTP Test verbindet sich mit den Mailservern einer Domain so, wie es ein zustellender Mailserver täte, und prüft, ob die Annahme von E-Mail technisch funktioniert: Erreichbarkeit auf Port 25, Begrüßungsbanner, ESMTP-Fähigkeiten und verschlüsselte Verbindung per STARTTLS. Er beantwortet Fragen wie nimmt unser Server überhaupt Verbindungen an und ist die Transportverschlüsselung sauber eingerichtet.

Was dieses Werkzeug prüft

Es löst die MX-Hosts der Domain auf und kontaktiert sie nacheinander auf Port 25. Je Host misst es die Zeit bis zur TCP-Verbindung und bis zum 220-Banner, sendet EHLO mit einem festen HELO-Namen und listet die angebotenen Fähigkeiten (STARTTLS, SIZE, PIPELINING, 8BITMIME, AUTH und weitere). Bietet der Server STARTTLS an, wird auf TLS umgeschaltet und geprüft: ausgehandelte TLS-Version und Cipher-Suite sowie das Serverzertifikat gegen die öffentlichen CAs (Kette, abgedeckter Hostname, Laufzeit, Aussteller, Schlüssellänge, selbstsigniert). Danach folgt ein zweites EHLO über die verschlüsselte Verbindung und QUIT.

Das Ergebnis lesen

Grün heißt: Host erreichbar, Banner sauber, STARTTLS angeboten und ein vertrauenswürdiges, gültiges Zertifikat. Auf Port 25 ist Verschlüsselung opportunistisch, deshalb ist ein selbstsigniertes oder nicht vertrauenswürdiges Zertifikat hier nur ein Hinweis, kein Fehler, solange nicht MTA-STS oder DANE es verlangen; ein abgelaufenes Zertifikat ist eine Warnung. Kein STARTTLS im Angebot ist eine Warnung, ein nicht erreichbarer Host oder ein fehlendes Banner ein Fehler. Wird ein Host als Cooldown übersprungen, wurde dieselbe Ziel-IP kürzlich schon getestet.

Grundlagen

Der Protokollablauf folgt RFC 5321 (SMTP, EHLO, Antwortcodes, impliziter MX). STARTTLS auf Port 25 ist in RFC 3207 beschrieben, die Fähigkeiten SIZE in RFC 1870 und PIPELINING in RFC 2920. Verpflichtende Transportverschlüsselung ergibt sich nicht aus SMTP selbst, sondern erst aus MTA-STS (RFC 8461) oder DANE (RFC 7672). Bewusst gesendet werden kein MAIL FROM, kein RCPT TO und kein DATA: keine Testmail, kein Open-Relay-Test.

Typische Fehlerbilder und wie man sie behebt

Host nicht erreichbar auf Port 25. Entweder die Firewall blockt eingehend, der Dienst lauscht nicht, oder der MX zeigt auf den falschen Host. Am Zielserver prüfen, dass der MTA auf Port 25 gebunden ist, und die eingehende Firewall für Port 25 öffnen.
Kein STARTTLS im Angebot. Der Server nimmt Mail nur unverschlüsselt an. Im MTA ein Zertifikat hinterlegen und STARTTLS aktivieren; ohne das schlagen MTA-STS und DANE bei der Gegenseite fehl.
Zertifikat nicht vertrauenswürdig oder Hostname passt nicht. Meist fehlt das Zwischenzertifikat in der Kette oder der MX-Hostname steht nicht als SAN im Zertifikat. Ein Zertifikat verwenden, das alle MX-Namen abdeckt, und die vollständige Kette ausliefern. Wichtig, sobald MTA-STS im enforce-Modus läuft.
Sehr langsames Banner. Oft ein Greylisting- oder Reverse-DNS-Lookup mit Timeout auf der Gegenseite. Für den eigenen Server sicherstellen, dass die IP ein gültiges, vorwärts bestätigtes Reverse DNS hat (FCrDNS).
Vom eigenen Netz aus geht Port 25 nach außen nicht. Viele Provider und Hoster sperren ausgehendes Port 25. Das ist eine Eigenheit des Testnetzes, kein Fehler der geprüften Domain; der Test hier läuft aus einem Netz mit freigegebenem Port 25.

Häufige Fragen

Wird eine Testmail verschickt?: Nein. Der Test beendet die Sitzung nach EHLO und STARTTLS mit QUIT. Es gibt kein MAIL FROM, kein RCPT TO und kein DATA, also keine zugestellte Nachricht und keinen Open-Relay-Test.
Wie wird das Zertifikat geprüft?: Die TLS-Verbindung wird verifizierend aufgebaut: die Kette muss zu einer öffentlichen CA führen, der MX-Hostname muss abgedeckt und das Zertifikat gültig sein. Schlägt das fehl, wird der Grund gezeigt (selbstsigniert, unbekannte CA, Hostname passt nicht, abgelaufen). Ohne MTA-STS oder DANE ist das auf Port 25 nur ein Hinweis.
Mein Mailserver antwortet nicht, woran kann das liegen?: Firewall blockt eingehend Port 25, der MTA lauscht auf einem anderen Port oder gar nicht, oder der MX-Record zeigt auf einen Host ohne laufenden Mailserver. Der MX Lookup zeigt, welchen Host der SMTP Test überhaupt kontaktiert.
Was bedeutet es, wenn Port 25 blockiert ist?: Zwischen Testquelle und Zielserver kommt keine Verbindung auf Port 25 zustande. Ausgehend sperren viele Provider Port 25 gegen Spam-Versand, eingehend eine restriktive Firewall am Zielserver. Für die E-Mail-Annahme muss eingehend Port 25 offen sein.
Warum dauert der Test einen Moment?: Jeder MX-Host wird nacheinander mit echten Netzwerk-Timeouts kontaktiert, inklusive TLS-Handshake. Der Test läuft im Hintergrund, das Ergebnis erscheint automatisch, sobald alle Hosts durch sind.
Warum wird ein Host als 'Cooldown' übersprungen?: Damit dieselbe Ziel-IP nicht im Minutentakt kontaktiert wird (Schutz vor Fehlalarmen und Ratenbegrenzungen bei den Zielservern), gilt pro Ziel-IP eine kurze Sperre zwischen zwei Tests.