Vier Ports tauchen immer wieder auf, wenn eine Anwendung E-Mails senden muss: 25, 465, 587 und 2525. Zwei davon sind Submission-Standards, 587 und 465, und der am häufigsten wiederholte Ratschlag zu 465 ist seit 2018 veraltet. Port 25 ist überhaupt nicht für die Einlieferung gedacht, und 2525 ist eine Konvention ohne zugrunde liegenden Standard.
Die kurze Antwort: Verwenden Sie 587 mit STARTTLS. Verwenden Sie 465, wenn Ihr Client lieber direkt eine TLS-Verbindung öffnet. Verwenden Sie 2525, wenn etwas in Ihrem Netzwerk 587 blockiert. Verwenden Sie 25 nicht, um E-Mails aus einer Anwendung einzuliefern.
Was macht jeder Port genau?
Die Ports unterscheiden sich in zwei Dimensionen: ob sie für die Einlieferung oder die Weiterleitung vorgesehen sind, und wann in der Verbindung die Verschlüsselung beginnt.
- 25 ist der Relay-Port. Über ihn übergibt ein Mailserver eine Nachricht an einen anderen. Er stammt aus der Zeit vor authentifizierter Einlieferung und setzt weder Authentifizierung noch Verschlüsselung voraus.
- 587 ist der Submission-Port, zu diesem Zweck definiert durch RFC 6409. Die Verbindung wird im Klartext aufgebaut und per
STARTTLS-Befehl auf TLS hochgestuft, bevor Zugangsdaten gesendet werden. - 465 ist der Implicit-TLS-Submission-Port. Der TLS-Handshake findet zuerst statt, und der gesamte SMTP-Dialog läuft innerhalb davon, sodass nie etwas im Klartext gesendet wird. Bibliotheken bezeichnen das üblicherweise als "SSL/TLS" oder "SMTPS".
- 2525 wird von keinem Standard SMTP zugewiesen. Anbieter stellen ihn als Alternative zu 587 für Netzwerke bereit, die den Standardport blockieren.
Der Unterschied zwischen 465 und 587 betrifft den Zeitpunkt, an dem TLS beginnt, nicht die Stärke der Verschlüsselung. Bei 465 ist die Verbindung ab dem ersten Byte verschlüsselt. Bei 587 wird sie einen Round-Trip später verschlüsselt, und ein korrekt konfigurierter Server lehnt AUTH ab, bis das geschehen ist.
Ist Port 465 veraltet?
Nein, und das ist der am häufigsten verbreitete veraltete SMTP-Ratschlag.
Die Geschichte ist tatsächlich verwirrend. Port 465 wurde anfänglich für SMTP über TLS zugewiesen, dann zugunsten des STARTTLS-Ansatzes auf 587 zurückgezogen, woraus der "465 is deprecated"-Ratschlag stammt. Dieser Ratschlag war eine Zeit lang korrekt. Dann empfahl RFC 8314, veröffentlicht im Januar 2018, implizites TLS für die E-Mail-Einlieferung und stellte 465 als Port dafür unter dem Dienstnamen submissions wieder her.
Eine Seite, die Ihnen sagt, 465 sei obsolet, beschreibt also den Stand vor 2018. Sowohl 465 als auch 587 sind aktuell. Wählen Sie den Port, den Ihr Client am saubersten unterstützt, und bevorzugen Sie 465, wenn Sie sich lieber nicht auf ein Plaintext-zu-TLS-Upgrade verlassen möchten.
Warum wird Port 25 blockiert, und wie prüfe ich das?
Ausgehender Port 25 wird von vielen Consumer-ISPs sowie Cloud- und Hosting-Anbietern blockiert, weil ein unauthentifizierter Relay-Port auf einem kompromittierten Rechner der typische Weg für massenhaften Spam-Versand ist. Ob die Sperre aufgehoben werden kann, hängt davon ab, wer sie gesetzt hat. Ein Consumer-ISP hebt sie für einen Privatanschluss in der Regel nicht auf, während Cloud-Anbieter unterschiedlich vorgehen: Manche akzeptieren einen Aufhebungsantrag, und mindestens einer bietet gar keine Ausnahme. Prüfen Sie die Richtlinie Ihres eigenen Anbieters, statt etwas in die eine oder andere Richtung anzunehmen.
Sie können eine Sperre bestätigen, indem Sie eine Verbindung zu einem bekannten Mailserver auf Port 25 öffnen und beobachten, ob Sie eine 220-Begrüßung oder einen Timeout erhalten. Eine manuelle Sitzung ist der klarste Weg, das zu sehen, und eine SMTP-Verbindung per Telnet-Sitzung prüfen führt Schritt für Schritt durch.
Wenn Port 25 blockiert ist, ist das nicht das Problem, das Sie lösen müssen. Eine Anwendung sollte ohnehin über 587 oder 465 einliefern.
Was ist der Unterschied zwischen Einlieferung und Weiterleitung?
Einlieferung (Submission) bedeutet, dass ein Mail-Client oder eine Anwendung eine neue Nachricht an einen Server übergibt, bei dem sie sich authentifiziert hat. Weiterleitung (Relaying) bedeutet, dass ein Server eine bestehende Nachricht in Richtung ihres Ziels weiterreicht.
Der Unterschied bestimmt, welcher Port und welche Regeln gelten. Einlieferung erfordert Authentifizierung, erlaubt es dem Server, die Nachricht auf dem Weg nach draußen zu bereinigen und zu signieren, und geschieht über 587 oder 465. Weiterleitung geschieht über 25, zwischen Servern, und wird von den Spam- und Reputationssystemen der Empfängerseite bewertet.
Eine Anwendung, die eigene E-Mails sendet, führt immer eine Einlieferung durch. Wenn Sie etwas konfigurieren und dabei Port 25 wählen, beschreibt die Konfiguration die falsche Hälfte des Systems.
Welche Ports akzeptiert Bird?
Drei, und Port 25 ist bewusst nicht darunter:
| Port | Verschlüsselung |
|---|---|
| 465 | Implizites TLS (SMTPS) |
| 587 | STARTTLS |
| 2525 | STARTTLS |
Auf 587 und 2525 wird AUTH abgelehnt, bis STARTTLS ausgeführt wurde, sodass Zugangsdaten auf keinem der drei Ports jemals im Klartext übertragen werden. Port 25 wird nicht für die Einlieferung angeboten.
Der Host hängt von der Region Ihres Schlüssels ab, die dem Präfix im Schlüssel selbst entspricht: Ein bk_eu1_...-Schlüssel sendet über eu1.smtp.bird.com, ein bk_us1_...-Schlüssel über us1.smtp.bird.com. Die Authentifizierung verwendet Ihren normalen API-Schlüssel anstelle eines separaten SMTP-Credentials: Der Benutzername ist der literale String bird und das Passwort ist der Schlüssel.
Über SMTP eingelieferte E-Mails werden genauso behandelt wie über die E-Mail-API gesendete, mit derselben Domain-Verifizierung, DKIM-Signierung, Unterdrückungsbehandlung, Tracking und Events. E-Mail über SMTP senden enthält die vollständige Verbindungsreferenz, zwei kommentierte Sitzungen, eine auf 465 und eine für 587 und 2525 gemeinsam, sowie die schlüsselspezifischen Standardwerte, die einen Versand bestimmen.
Wie finde ich heraus, welchen Port mein Client verwendet?
Wo Sie nachschauen müssen, hängt von der Software ab, aber das Muster ist einheitlich:
- Application-Frameworks legen ihn in der Mail-Konfiguration ab, üblicherweise neben dem Host, als
port- oderMAIL_PORT-Einstellung. - Content-Management-Systeme zeigen ihn auf der Einstellungsseite eines SMTP-Plugins zusammen mit einem Verschlüsselungs-Dropdown an. Dieses Dropdown ist die Einstellung, die häufig falsch gesetzt wird: "SSL/TLS" bedeutet 465 und "STARTTLS" bedeutet 587 oder 2525, und eine Fehlkombination führt zu einer Verbindung, die hängt oder abgelehnt wird, statt eine hilfreiche Fehlermeldung zu liefern.
- Geräte wie Drucker und Scanner führen ihn unter einem Benachrichtigungs- oder Scan-to-E-Mail-Bildschirm auf.
Wenn E-Mails fehlschlagen und Sie den Port vermuten, testen Sie die Verbindung direkt, bevor Sie Anwendungscode ändern. Eine manuelle Sitzung zeigt Ihnen, ob der Port erreichbar ist, ob TLS ausgehandelt wird und ob die Authentifizierung akzeptiert wird, was eine Netzwerksperre von einem Zugangsdaten-Problem unterscheidet.
In short
Verwenden Sie 587 mit STARTTLS, sofern Sie keinen Grund dagegen haben.
Es ist der Submission-Port gemäß RFC 6409, und jeder gängige Client und jede Bibliothek unterstützt ihn.
Port 465 ist nicht veraltet.
Er wurde einmal zugunsten von SMTP über TLS zurückgezogen, dann brachte RFC 8314 ihn 2018 als empfohlenen Implicit-TLS-Submission-Port zurück. Ratschläge, die ihn als obsolet bezeichnen, stammen aus der Zeit davor.
Port 25 ist für die Server-zu-Server-Weiterleitung.
Hosting-Anbieter und Consumer-ISPs blockieren ausgehenden Port 25, um Spam einzudämmen, und er ist nicht der Port, über den eine Anwendung E-Mails einliefern sollte.
Port 2525 ist ein Fallback ohne zugrunde liegenden Standard.
Kein RFC weist ihn SMTP zu. Anbieter stellen ihn bereit, weil manche Netzwerke 587 blockieren, und er verhält sich ansonsten wie 587.