Інструменти мережевої діагностики
Підключіться до поштового сервера та перевірте STARTTLS
DNS та записи
Пошук DNS Усі записи DNS для будь-якого домену Пошук запису A IPv4-адреси домену Пошук запису AAAA IPv6-адреси домену Пошук MX Поштові сервери домену Пошук NS Авторитетні сервери імен Пошук TXT Записи TXT, SPF, верифікація Пошук CNAME Записи канонічного імені (псевдонім) Пошук SOA Запис Start of Authority Пошук SRV Записи розташування сервісів Пошук CAA Які CA можуть видавати сертифікати Зворотний DNS (PTR) IP-адреса до імені хоста Перевірка DNSSEC Чи підписаний і валідований домен? Перевірка стану DNS Повний звіт про делегування та стан DNSДоставлюваність пошти
Перевірка SPF Перевірте свій запис Sender Policy Framework Перевірка DMARC Перевірте та оцініть свою політику DMARC Перевірка DKIM Знайдіть і перевірте свій відкритий ключ DKIM Перевірка чорних списків Перевірте IP за поштовими чорними списками (DNSBL) Тест SMTP Підключіться до поштового сервера та перевірте STARTTLS Перевірка MTA-STS Примусова політика TLS для вхідної пошти Перевірка BIMI Запис логотипа бренду для пошти Перевірка TLS-RPT Політика звітності SMTP TLSМережа та веб
Перевірка SSL-сертифіката Перевірте TLS-сертифікат сайту та термін дії Перевірка заголовків HTTP Перевірте заголовки відповіді, перенаправлення та безпеку Ping (TCP) Доступність і затримка через TCP Перевірка портів Які поширені порти відкритіДомен
Пошук WHOIS Реєстраційні дані для доменів, IP та ASNЦей тест SMTP резолвить основний MX домену, відкриває з’єднання на порту 25, читає вітальний банер і список можливостей EHLO та повідомляє, чи пропонує сервер STARTTLS для шифрованої доставки. Це швидкий спосіб підтвердити, що поштовий сервер доступний і підтримує TLS.
Коли ви надсилаєте домен, IPeek шукає його записи MX, обирає хост із найвищим пріоритетом і відкриває TCP-з’єднання на порту 25. Сервер відповідає вітальним банером 220, що називає ПЗ, зазвичай Postfix, Exim або Microsoft. Потім IPeek надсилає EHLO й розбирає багаторядкову відповідь 250 зі списком підтримуваних розширень. Шукайте STARTTLS у цьому списку: він сигналізує, що сервер може оновити відкриту сесію до шифрованого каналу TLS, перш ніж буде передано будь-які дані листа. SIZE, PIPELINING і 8BITMIME зазвичай з’являються поряд із ним.
Почніть із банера. Відповідь 220 означає, що сервер прийняв з’єднання й готовий. Якщо STARTTLS з’являється у списку можливостей EHLO, сервер може шифрувати вхідну доставку; його відсутність означає, що пошта може ретранслюватися у відкритому вигляді. Таймаут чи відхилене з’єднання зазвичай вказують на фаєрвол, хибну ціль MX або хост, що не працює. Зверніть увагу, що порт 25 призначений для доставки між серверами, а не для надсилання від клієнтів, яке використовує 587 чи 465. Ім’я хоста в банері має збігатися з вашим записом PTR, щоб задовольнити отримувачів, які його перевіряють.
Відхилене з’єднання чи таймаут — найчастіший збій, зазвичай через фаєрвол, що блокує порт 25, або запис MX, що вказує на хибний хост. Відсутній рядок STARTTLS означає, що сервер-отримувач не може узгодити TLS, тож додайте сертифікат і ввімкніть його у вашому MTA. Самопідписаний чи прострочений сертифікат усе одно оголошує STARTTLS, але ламає суворі політики TLS на кшталт MTA-STS і DANE. Якщо банер повідомляє загальне ім’я хоста, що відрізняється від вашого зворотного DNS, виправте запис PTR, бо багато отримувачів відхиляють пошту, коли банер і PTR не збігаються.
Доставка пошти між серверами використовує порт 25, до якого й підключається цей тест. Порти 587 і 465 зарезервовані для надсилання пошти від клієнтів і застосунків, де 587 використовує STARTTLS, а 465 — неявний TLS. IPeek перевіряє порт 25, бо саме там сервери-отримувачі MX приймають вхідну пошту з інтернету.
STARTTLS оновлює відкриту сесію SMTP до шифрованого з’єднання TLS. Сервер оголошує STARTTLS у своїй відповіді EHLO, а сервер-відправник видає команду, щоб узгодити TLS перед передачею будь-яких даних повідомлення. Без нього пошта проходить мережею у відкритому вигляді й може бути прочитана чи змінена в дорозі. STARTTLS є опортуністичним, якщо його не примушують MTA-STS чи DANE.
Таймаут майже завжди означає, що фаєрвол блокує порт 25 або запис MX вказує на хост, що не працює чи недоступний. Багато домашніх і хмарних мереж блокують вихідний порт 25 за замовчуванням. Підтвердьте, що ціль MX резолвиться правильно, перевірте, що поштовий сервер слухає, і переконайтеся, що жодна група безпеки чи правило фаєрволу не відкидає з’єднання.
Це означає, що вхідну пошту до цього сервера можна доставити без шифрування, наражаючи її на перехоплення на з’єднанні. Більшість сучасних отримувачів усе одно приймають пошту, але не можуть зашифрувати сесію. Щоб виправити це, встановіть чинний сертифікат TLS і ввімкніть STARTTLS у конфігурації вашого MTA, а потім перезапустіть тест, щоб підтвердити, що ця можливість тепер з’являється.
Вітальний банер — це перший рядок, який поштовий сервер надсилає після підключення, починаючись із коду відповіді 220. Він ідентифікує ПЗ сервера та ім’я хоста й підтверджує, що сервер готовий приймати команди. Отримувачі часто порівнюють ім’я хоста в банері із записом PTR IP, що підключається, тож невідповідність може спричинити спам-фільтрацію чи повне відхилення.