Pourquoi tester la connectivité SMTP de vos MX ?
La configuration DNS (SPF, DKIM, DMARC) ne suffit pas. En 2024, plus de 95 % des emails légitimes sont transmis via TLS (Google Transparency Report). Si vos serveurs MX sont injoignables sur le port 25, ne supportent pas STARTTLS, ou ont un certificat TLS expiré, la livraison de vos emails est compromise.
Trois raisons de tester régulièrement :
- Délivrabilité : un MX injoignable = des emails perdus. Les expéditeurs reçoivent des bounces "connection timeout" sans recours.
- Sécurité TLS : sans STARTTLS, vos emails transitent en clair sur Internet. Les politiques MTA-STS et DANE exigent un certificat TLS valide.
- Réputation : un open relay est un aimant à spam. Votre IP sera blacklistée en quelques heures, impactant tous vos flux sortants.
Comment utiliser le SMTP/MX Tester en 3 étapes
Étape 1 : Entrez votre domaine
Saisissez le nom de domaine à tester (par exemple captaindns.com). L'outil résout automatiquement les enregistrements MX via DNS.
Étape 2 : Attendez le diagnostic
Pour chaque serveur MX détecté, l'outil :
- Se connecte sur le port 25 (TCP)
- Capture le banner SMTP (code 220)
- Envoie EHLO et liste les extensions
- Teste STARTTLS et inspecte le certificat TLS
- Effectue un test open relay basique
Étape 3 : Analysez les résultats
Chaque serveur MX affiche un statut clair : joignable ou non, STARTTLS supporté, certificat valide, open relay détecté ou non. Les diagnostics vous guident vers les actions correctives.
Qu'est-ce que le protocole SMTP ?
SMTP (Simple Mail Transfer Protocol, RFC 5321) est le protocole standard pour le transport d'email entre serveurs. Quand quelqu'un envoie un email à votre domaine, le serveur expéditeur :
- Résout les enregistrements MX de votre domaine
- Se connecte au serveur MX avec la priorité la plus basse (préféré)
- Effectue un handshake SMTP (banner, EHLO, STARTTLS)
- Transmet le message
Exemple de session SMTP :
Connexion TCP vers mx1.captaindns.com:25
← 220 mx1.captaindns.com ESMTP Postfix
→ EHLO sender.example.com
← 250-STARTTLS
← 250-SIZE 52428800
← 250 8BITMIME
→ STARTTLS
← 220 Ready for TLS
[Handshake TLS 1.3]
→ MAIL FROM:<user@example.com>
→ RCPT TO:<contact@captaindns.com>
→ DATA
Qu'analyse exactement l'outil ?
| Élément | Description | Résultat |
|---|---|---|
| Résolution MX | Requête DNS pour les enregistrements MX du domaine | Liste des serveurs avec priorité |
| Connexion TCP | Tentative de connexion sur le port 25 | Joignable / Injoignable + temps de réponse |
| Banner SMTP | Capture de la réponse 220 initiale | Hostname, logiciel MTA détecté |
| Extensions EHLO | Liste des capacités annoncées par le serveur | STARTTLS, SIZE, PIPELINING, etc. |
| STARTTLS | Test d'upgrade vers TLS | Version TLS, suite cryptographique |
| Certificat TLS | Inspection du certificat du serveur | Sujet, émetteur, expiration, SAN, chaîne |
| Open relay | Test MAIL FROM + RCPT TO externe | Relaying refusé (OK) ou accepté (danger) |
Cas d'usage concrets
MX injoignable, emails rejetés en cascade
Symptôme : Les expéditeurs reçoivent des erreurs "connection timeout" ou "host unreachable" quand ils envoient vers votre domaine.
Diagnostic : Le SMTP/MX Tester montre que le serveur MX secondaire (mx2) est injoignable : le port 25 est bloqué par le firewall.
Action : Ouvrir le port 25 TCP entrant sur le firewall du serveur mx2 (iptables -A INPUT -p tcp --dport 25 -j ACCEPT ou équivalent), ou supprimer l'enregistrement MX si le serveur n'est plus en service.
Certificat TLS expiré, livraison MTA-STS bloquée
Symptôme : Les serveurs avec une politique MTA-STS en mode enforce refusent de livrer les emails à votre domaine.
Diagnostic : L'outil détecte que le certificat a expiré (date d'expiration dépassée). Le hostname du SAN ne correspond pas au MX annoncé.
Action : Renouveler le certificat via Let's Encrypt (certbot renew) ou votre CA, puis vérifier que le SAN (Subject Alternative Name) inclut le hostname MX exact (ex. mx1.example.com).
Open relay, IP blacklistée en quelques heures
Symptôme : Votre IP apparaît soudainement sur plusieurs blacklists (Spamhaus, Barracuda, etc.).
Diagnostic : Le test open relay montre que le serveur accepte de relayer du mail vers des domaines externes sans authentification.
Action : Sur Postfix, vérifier smtpd_relay_restrictions et s'assurer que permit_mynetworks, reject_unauth_destination est configuré. Sur Exchange, vérifier les connecteurs de réception. Retester immédiatement après correction.
❓ FAQ
Q : Pourquoi tester la connectivité SMTP de mes serveurs MX ?
R : Même avec des enregistrements DNS parfaits (SPF, DKIM, DMARC), si vos serveurs MX sont injoignables ou ne supportent pas TLS, les emails ne seront pas livrés correctement. Ce test vérifie la couche transport réelle.
Q : Qu'est-ce que STARTTLS et pourquoi est-ce important ?
R : STARTTLS (RFC 3207) permet d'upgrader une connexion SMTP en clair vers une connexion chiffrée TLS. Sans STARTTLS, les emails transitent en clair sur Internet. La majorité des fournisseurs modernes exigent STARTTLS.
Q : Qu'est-ce qu'un open relay et pourquoi est-ce dangereux ?
R : Un open relay est un serveur SMTP qui accepte de transmettre du mail pour n'importe qui, sans authentification. C'est une faille de sécurité exploitée par les spammeurs. Votre serveur sera rapidement blacklisté.
Q : Que signifie le banner SMTP ?
R : Le banner est la première réponse du serveur (code 220). Il contient le hostname et parfois le logiciel MTA. Un banner bien configuré ne doit pas révéler d'informations sensibles.
Q : Mon serveur MX est injoignable, que faire ?
R : Vérifiez le firewall (port 25), le service SMTP, et les enregistrements MX DNS. Certains hébergeurs cloud bloquent le port 25 sortant par défaut.
Q : Quelle version TLS est recommandée ?
R : TLS 1.2 minimum, TLS 1.3 recommandé. Les versions 1.0 et 1.1 sont obsolètes et vulnérables.
Q : Comment interpréter les extensions EHLO ?
R : STARTTLS (chiffrement), SIZE (taille max), 8BITMIME (encodage), PIPELINING (performance), SMTPUTF8 (internationalisation). Plus le serveur en supporte, plus il est moderne.
Outils complémentaires
| Outil | Utilité |
|---|---|
| MTA-STS Record Check | Vérifiez la politique MTA-STS qui impose TLS pour le transport |
| TLS-RPT Record Check | Configurez les rapports TLS pour surveiller les échecs de connexion |
| Vérification DNS domaine | Audit complet SPF, DKIM, DMARC, MTA-STS, BIMI |
| Blacklist domaine | Vérifiez si votre domaine est sur une liste noire |
| Mail Tester | Testez la délivrabilité complète de vos emails |
Testez votre domaine maintenant
Un serveur MX mal configuré peut bloquer silencieusement vos emails pendant des jours. Entrez votre domaine dans l'outil ci-dessus pour identifier immédiatement les problèmes de connectivité, de chiffrement TLS et de configuration relay.
Prochaine étape : après le test SMTP, lancez un audit complet de votre domaine pour vérifier SPF, DKIM, DMARC, MTA-STS et BIMI en une seule analyse.
Ressources utiles
- RFC 5321 (SMTP) : spécification du protocole SMTP
- RFC 3207 (STARTTLS) : extension SMTP pour TLS
- RFC 8461 (MTA-STS) : transport strict TLS pour SMTP
- RFC 7672 (DANE) : authentification SMTP basée sur DNSSEC
Engagement confidentialité
Aucune donnée de connexion SMTP n'est stockée. Les résultats ne sont pas enregistrés et aucun email n'est envoyé lors du test. Le test open relay utilise une commande RCPT TO sans envoyer de message (pas de DATA).