Perché testare la connettività SMTP dei tuoi MX?
Hai configurato SPF, DKIM e DMARC, ma le tue email continuano a non arrivare? Il problema potrebbe non essere nei record DNS, bensì nel livello di trasporto. Se i tuoi server MX sono irraggiungibili sulla porta 25, non supportano STARTTLS o hanno un certificato TLS scaduto, la consegna delle tue email è compromessa, anche con una configurazione DNS impeccabile.
Tre motivi per testare regolarmente:
- Deliverability: un MX irraggiungibile significa email perse. I mittenti ricevono bounce "connection timeout".
- Sicurezza TLS: senza STARTTLS, le tue email transitano in chiaro. Le policy MTA-STS e DANE richiedono TLS valido.
- Reputazione: un open relay è una calamita per lo spam. Il tuo IP verrà inserito in blocklist in poche ore.
Come usare l'SMTP/MX Tester in 3 passaggi
Passaggio 1: Inserisci il tuo dominio
Inserisci il nome di dominio da testare (ad esempio captaindns.com). Lo strumento risolve automaticamente i record MX tramite DNS.
Passaggio 2: Attendi la diagnosi
Per ogni server MX rilevato, lo strumento:
- Si connette sulla porta 25 (TCP)
- Cattura il banner SMTP (codice 220)
- Invia EHLO ed elenca le estensioni
- Testa STARTTLS e ispeziona il certificato TLS
- Esegue un test open relay di base
Passaggio 3: Analizza i risultati
Ogni server MX mostra uno stato chiaro: raggiungibile o meno, STARTTLS supportato, certificato valido, open relay rilevato o meno. La diagnosi ti guida verso le azioni correttive.
Cos'è il protocollo SMTP?
SMTP (Simple Mail Transfer Protocol, RFC 5321) è il protocollo standard per il trasporto di email tra server. Quando qualcuno invia un'email al tuo dominio, il server mittente:
- Risolve i record MX del tuo dominio
- Si connette al server MX con il valore di priorità più basso (preferito)
- Effettua un handshake SMTP (banner, EHLO, STARTTLS)
- Trasmette il messaggio
Esempio di sessione SMTP:
Connessione TCP verso mx1.captaindns.com:25
← 220 mx1.captaindns.com ESMTP Postfix
→ EHLO sender.captaindns.com
← 250-STARTTLS
← 250-SIZE 52428800
← 250 8BITMIME
→ STARTTLS
← 220 Ready for TLS
[Handshake TLS 1.3]
→ MAIL FROM:<user@captaindns.com>
→ RCPT TO:<contact@captaindns.com>
→ DATA
Cosa analizza esattamente lo strumento?
| Elemento | Descrizione | Risultato |
|---|---|---|
| Risoluzione MX | Query DNS per i record MX del dominio | Lista dei server con priorità |
| Connessione TCP | Tentativo di connessione sulla porta 25 | Raggiungibile / Irraggiungibile + tempo di risposta |
| Banner SMTP | Cattura della risposta 220 iniziale | Hostname, software MTA rilevato |
| Estensioni EHLO | Lista delle capacità annunciate dal server | STARTTLS, SIZE, PIPELINING, ecc. |
| STARTTLS | Test di upgrade verso TLS | Versione TLS, suite crittografica |
| Certificato TLS | Ispezione del certificato del server | Soggetto, emittente, scadenza, SAN, catena |
| Open relay | Test MAIL FROM + RCPT TO esterno | Relay rifiutato (OK) o accettato (pericolo) |
Casi d'uso concreti
Caso 1: Email che rimbalzano
Sintomo: i mittenti ricevono errori "connection timeout" o "host unreachable" quando inviano verso il tuo dominio.
Diagnosi: l'SMTP/MX Tester mostra che il server MX secondario (mx2) è irraggiungibile, la porta 25 è bloccata dal firewall.
Azione: aprire la porta 25 in entrata sul firewall del server mx2, oppure rimuovere il record MX se non è più attivo.
Caso 2: Certificato TLS scaduto
Sintomo: i server con MTA-STS strict rifiutano di consegnare le email al tuo dominio.
Diagnosi: lo strumento rileva che il certificato è scaduto da 5 giorni. L'hostname del SAN non corrisponde all'MX.
Azione: rinnovare il certificato TLS e verificare che il SAN includa l'hostname MX esatto.
Caso 3: Open relay rilevato
Sintomo: il tuo IP compare improvvisamente su diverse blocklist.
Diagnosi: il test open relay mostra che il server accetta di inoltrare email verso domini esterni senza autenticazione.
Azione: configurare il server SMTP per rifiutare il relay non autenticato. Verificare le regole di trasporto e le restrizioni di relay.
FAQ
D: Perché testare la connettività SMTP dei miei server MX?
R: Anche con record DNS perfetti (SPF, DKIM, DMARC), se i tuoi server MX sono irraggiungibili o non supportano TLS, le email non verranno consegnate correttamente. Questo test verifica il livello di trasporto reale.
D: Cos'è STARTTLS e perché è importante?
R: STARTTLS (RFC 3207) permette di aggiornare una connessione SMTP in chiaro a una connessione crittografata TLS. Senza STARTTLS, le email transitano in chiaro su Internet. La maggior parte dei provider moderni richiede STARTTLS.
D: Qual è la differenza tra STARTTLS e TLS implicito?
R: STARTTLS (RFC 3207) fa evolvere una connessione SMTP in chiaro verso una connessione cifrata TLS dopo l'handshake iniziale. Il TLS implicito (porta 465, RFC 8314) cifra fin dall'inizio della connessione. Per il traffico MX server-a-server, lo standard resta STARTTLS sulla porta 25.
D: Cos'è un open relay e perché è pericoloso?
R: Un open relay è un server SMTP che accetta di inoltrare email per chiunque, senza autenticazione. È una falla di sicurezza sfruttata dagli spammer. Il tuo server verrà rapidamente inserito in blocklist.
D: Cosa significa il banner SMTP?
R: Il banner è la prima risposta del server (codice 220). Contiene l'hostname e talvolta il software MTA. Un banner ben configurato non deve rivelare informazioni sensibili.
D: Il mio server MX è irraggiungibile, cosa fare?
R: Verifica il firewall (porta 25), il servizio SMTP e i record MX DNS. Alcuni hosting provider cloud bloccano la porta 25 in uscita di default.
D: Quale versione TLS è raccomandata?
R: TLS 1.2 minimo, TLS 1.3 raccomandato. Le versioni 1.0 e 1.1 sono obsolete e vulnerabili.
D: Come interpretare le estensioni EHLO?
R: STARTTLS (crittografia), SIZE (dimensione max), 8BITMIME (codifica), PIPELINING (performance), SMTPUTF8 (internazionalizzazione). Più il server ne supporta, più è moderno.
Strumenti complementari
| Strumento | Utilità |
|---|---|
| Ricerca DNS (MX, A, TXT) | Risolvi i record MX e la zona DNS del tuo dominio |
| MTA-STS Record Check | Verifica la policy MTA-STS che impone TLS per il trasporto |
| TLS-RPT Record Check | Configura i report TLS per monitorare i fallimenti di connessione |
| Verifica DNS dominio | Audit completo SPF, DKIM, DMARC, MTA-STS, BIMI |
| Blocklist dominio | Verifica se il tuo dominio è in una blocklist |
| Mail Tester | Testa la deliverability completa delle tue email |
Risorse utili
- RFC 5321 (SMTP): specifica del protocollo SMTP
- RFC 3207 (STARTTLS): estensione SMTP per TLS
- RFC 8461 (MTA-STS): trasporto strict TLS per SMTP
- RFC 7672 (DANE): autenticazione SMTP basata su DNSSEC
Testa i tuoi server MX adesso
Inserisci il tuo dominio nello strumento qui sopra per ottenere una diagnosi completa in pochi secondi. Se i risultati rivelano problemi, consulta i casi d'uso sopra per le azioni correttive, oppure utilizza gli strumenti complementari per un audit email completo.
Impegno sulla privacy
Nessun dato di connessione SMTP viene memorizzato. I risultati non vengono registrati e nessuna email viene inviata durante il test. Il test open relay utilizza un comando RCPT TO senza inviare alcun messaggio (nessun DATA).