Quel port SMTP utiliser ?

Quatre ports reviennent dès qu'une application doit envoyer du courrier : 25, 465, 587 et 2525. Deux d'entre eux sont des standards de soumission, 587 et 465, et le conseil le plus souvent répété au sujet du 465 est périmé depuis 2018. Le port 25 n'est pas du tout destiné à la soumission, et le 2525 est une convention sans norme derrière lui.

En résumé : utilisez 587 avec STARTTLS. Utilisez 465 si votre client préfère ouvrir directement une connexion TLS. Utilisez 2525 si quelque chose sur votre réseau bloque le 587. N'utilisez pas 25 pour soumettre du courrier depuis une application.

Que fait chaque port exactement ?

Les ports se distinguent sur deux axes : s'ils sont destinés à la soumission ou au relais, et à quel moment le chiffrement de la connexion commence.

• 25 est le port de relais. C'est ainsi qu'un serveur de messagerie transmet un message à un autre. Il est antérieur à la soumission authentifiée et n'implique aucune des deux.
• 587 est le port de soumission, défini à cet effet par la RFC 6409. La connexion s'ouvre en clair et passe à TLS avec la commande STARTTLS avant l'envoi des identifiants.
• 465 est le port de soumission TLS implicite. La poignée de main TLS a lieu en premier et l'ensemble du dialogue SMTP se déroule à l'intérieur, si bien que rien n'est jamais envoyé en clair. Les bibliothèques désignent généralement ce mode par "SSL/TLS" ou "SMTPS".
• 2525 n'a aucune norme l'assignant à SMTP. Les fournisseurs le proposent comme alternative au 587 pour les réseaux qui bloquent le port standard.

La distinction entre 465 et 587 porte sur le moment où TLS démarre, pas sur la robustesse du chiffrement. Sur 465, la connexion est chiffrée dès le premier octet. Sur 587, elle le devient un aller-retour plus tard, et un serveur correctement configuré refuse AUTH tant que ce n'est pas fait.

Le port 465 est-il déprécié ?

Non, et c'est le conseil SMTP périmé le plus répandu.

L'historique est réellement déroutant. Le port 465 a d'abord été assigné pour SMTP sur TLS, puis retiré au profit de l'approche STARTTLS sur 587, d'où vient le conseil "465 is deprecated". Ce conseil a été correct pendant un temps. Puis la RFC 8314, publiée en janvier 2018, a recommandé TLS implicite pour la soumission de courrier et a rétabli le port 465, sous le nom de service submissions.

Une page vous indiquant que le 465 est obsolète décrit donc l'état des choses avant 2018. Les ports 465 et 587 sont tous deux valides. Choisissez celui que votre client prend en charge le plus proprement, et préférez 465 si vous ne voulez pas dépendre d'une montée en TLS depuis le clair.

Pourquoi le port 25 est-il bloqué, et comment vérifier ?

Le port 25 en sortie est bloqué par de nombreux FAI grand public et par les fournisseurs cloud et d'hébergement, parce qu'un port de relais non authentifié sur une machine compromise est le vecteur classique d'envoi de spam en masse. La possibilité de lever le blocage dépend de qui l'a mis en place. Un FAI grand public ne le lèvera généralement pas pour une ligne résidentielle, tandis que les fournisseurs cloud varient : certains acceptent une demande de suppression, et au moins un n'accorde aucune exemption. Vérifiez la politique publiée par votre propre fournisseur plutôt que de supposer quoi que ce soit.

Vous pouvez confirmer un blocage en ouvrant une connexion vers un serveur de messagerie connu sur le port 25 et en observant si vous recevez un message d'accueil 220 ou un délai d'attente dépassé. Une session manuelle est le moyen le plus clair de le constater, et vérifier une connexion SMTP avec une session telnet en décrit le déroulement.

Si le port 25 est bloqué, ce n'est pas le problème à résoudre. Une application devrait soumettre sur 587 ou 465 dans tous les cas.

Quelle est la différence entre soumission et relais ?

La soumission, c'est un client de messagerie ou une application qui remet un nouveau message à un serveur auprès duquel il s'est authentifié. Le relais, c'est un serveur qui transmet un message existant vers sa destination.

La différence détermine quel port et quelles règles s'appliquent. La soumission exige une authentification, permet au serveur de corriger et signer le message avant son envoi, et se fait sur 587 ou 465. Le relais se fait sur 25, entre serveurs, et c'est ce que les systèmes antispam et de réputation du destinataire évaluent.

Une application qui envoie son propre courrier fait toujours de la soumission. Si vous configurez quelque chose et que vous vous dirigez vers le port 25, la configuration décrit la mauvaise moitié du système.

Quels ports Bird accepte-t-il ?

Trois, et le port 25 n'en fait délibérément pas partie :

Sur 587 et 2525, AUTH est refusé tant que STARTTLS n'a pas été exécuté, si bien que les identifiants ne circulent jamais en clair sur aucun des trois. Le port 25 n'est pas proposé pour la soumission.

L'hôte dépend de la région de votre clé, qui correspond au préfixe dans la clé elle-même : une clé bk_eu1_... envoie via eu1.smtp.bird.com, une clé bk_us1_... via us1.smtp.bird.com. L'authentification utilise votre clé API habituelle plutôt qu'un identifiant SMTP distinct : le nom d'utilisateur est la chaîne littérale bird et le mot de passe est la clé.

Le courrier soumis via SMTP est traité exactement comme le courrier envoyé via l'API email API, avec la même vérification de domaine, la même signature DKIM, la même gestion des suppressions, le même suivi et les mêmes événements. Envoyer un email via SMTP contient la référence de connexion complète, deux sessions annotées, l'une sur 465 et l'autre partagée entre 587 et 2525, ainsi que les valeurs par défaut par clé qui façonnent un envoi.

Comment trouver le port utilisé par mon client ?

L'endroit où chercher dépend du logiciel, mais le schéma est cohérent :

• Les frameworks applicatifs le placent dans la configuration du courrier, généralement à côté de l'hôte, sous forme d'un paramètre port ou MAIL_PORT.
• Les systèmes de gestion de contenu l'exposent dans la page de paramètres d'un plugin SMTP à côté d'une liste déroulante pour le chiffrement. C'est cette liste déroulante que les utilisateurs configurent mal : "SSL/TLS" correspond au port 465 et "STARTTLS" au port 587 ou 2525, et une incohérence entre les deux produit une connexion qui reste en attente ou est refusée plutôt qu'une erreur utile.
• Les appareils tels que les imprimantes et les scanners placent ce paramètre dans un écran de notification ou de numérisation vers e-mail.

Si le courrier échoue et que vous soupçonnez le port, testez la connexion directement avant de modifier le code applicatif. Une session manuelle vous indique si le port est joignable, si TLS négocie correctement et si l'authentification est acceptée, ce qui permet de distinguer un blocage réseau d'un problème d'identifiants.