Perché testare la connettività SMTP dei tuoi MX?
Hai configurato SPF, DKIM e DMARC, ma le tue email continuano a non arrivare? Il problema potrebbe non essere nei record DNS, bensì nel livello di trasporto. Se i tuoi server MX sono irraggiungibili sulla porta 25, non supportano STARTTLS o hanno un certificato TLS scaduto, la consegna delle tue email è compromessa, anche con una configurazione DNS impeccabile.
Tre motivi per testare regolarmente:
- Deliverability: un MX irraggiungibile significa email perse. I mittenti ricevono bounce "connection timeout".
- Sicurezza TLS: senza STARTTLS, le tue email transitano in chiaro. Le policy MTA-STS e DANE richiedono TLS valido.
- Reputazione: un open relay è una calamita per lo spam. Il tuo IP verrà inserito in blocklist in poche ore.
Come usare l'SMTP/MX Tester in 3 passaggi
Passaggio 1: Inserisci il tuo dominio
Inserisci il nome di dominio da testare (ad esempio captaindns.com). Lo strumento risolve automaticamente i record MX tramite DNS.
Passaggio 2: Attendi la diagnosi
Per ogni server MX rilevato, lo strumento:
- Si connette sulla porta 25 (TCP)
- Cattura il banner SMTP (codice 220)
- Invia EHLO e elenca le estensioni
- Testa STARTTLS e ispeziona il certificato TLS
- Esegue un test open relay di base
Passaggio 3: Analizza i risultati
Ogni server MX mostra uno stato chiaro: raggiungibile o meno, STARTTLS supportato, certificato valido, open relay rilevato o meno. La diagnosi ti guida verso le azioni correttive.
Cos'è il protocollo SMTP?
SMTP (Simple Mail Transfer Protocol, RFC 5321) è il protocollo standard per il trasporto di email tra server. Quando qualcuno invia un'email al tuo dominio, il server mittente:
- Risolve i record MX del tuo dominio
- Si connette al server MX con la priorità più bassa (preferito)
- Effettua un handshake SMTP (banner, EHLO, STARTTLS)
- Trasmette il messaggio
Esempio di sessione SMTP:
Connessione TCP verso mx1.captaindns.com:25
← 220 mx1.captaindns.com ESMTP Postfix
→ EHLO sender.example.com
← 250-STARTTLS
← 250-SIZE 52428800
← 250 8BITMIME
→ STARTTLS
← 220 Ready for TLS
[Handshake TLS 1.3]
→ MAIL FROM:<user@example.com>
→ RCPT TO:<contact@captaindns.com>
→ DATA
Cosa analizza esattamente lo strumento?
| Elemento | Descrizione | Risultato |
|---|---|---|
| Risoluzione MX | Query DNS per i record MX del dominio | Lista dei server con priorità |
| Connessione TCP | Tentativo di connessione sulla porta 25 | Raggiungibile / Irraggiungibile + tempo di risposta |
| Banner SMTP | Cattura della risposta 220 iniziale | Hostname, software MTA rilevato |
| Estensioni EHLO | Lista delle capacità annunciate dal server | STARTTLS, SIZE, PIPELINING, ecc. |
| STARTTLS | Test di upgrade verso TLS | Versione TLS, suite crittografica |
| Certificato TLS | Ispezione del certificato del server | Soggetto, emittente, scadenza, SAN, catena |
| Open relay | Test MAIL FROM + RCPT TO esterno | Relay rifiutato (OK) o accettato (pericolo) |
Casi d'uso concreti
Caso 1: Email che rimbalzano
Sintomo: i mittenti ricevono errori "connection timeout" o "host unreachable" quando inviano verso il tuo dominio.
Diagnosi: l'SMTP/MX Tester mostra che il server MX secondario (mx2) è irraggiungibile, la porta 25 è bloccata dal firewall.
Azione: aprire la porta 25 in entrata sul firewall del server mx2, oppure rimuovere il record MX se non è più attivo.
Caso 2: Certificato TLS scaduto
Sintomo: i server con MTA-STS strict rifiutano di consegnare le email al tuo dominio.
Diagnosi: lo strumento rileva che il certificato è scaduto da 5 giorni. L'hostname del SAN non corrisponde al MX.
Azione: rinnovare il certificato TLS e verificare che il SAN includa l'hostname MX esatto.
Caso 3: Open relay rilevato
Sintomo: il tuo IP compare improvvisamente su diverse blocklist.
Diagnosi: il test open relay mostra che il server accetta di inoltrare email verso domini esterni senza autenticazione.
Azione: configurare il server SMTP per rifiutare il relay non autenticato. Verificare le regole di trasporto e le restrizioni di relay.
❓ FAQ
D: Perché testare la connettività SMTP dei miei server MX?
R: Anche con record DNS perfetti (SPF, DKIM, DMARC), se i tuoi server MX sono irraggiungibili o non supportano TLS, le email non verranno consegnate correttamente. Questo test verifica il livello di trasporto reale.
D: Cos'è STARTTLS e perché è importante?
R: STARTTLS (RFC 3207) permette di aggiornare una connessione SMTP in chiaro a una connessione crittografata TLS. Senza STARTTLS, le email transitano in chiaro su Internet. La maggior parte dei provider moderni richiede STARTTLS.
D: Cos'è un open relay e perché è pericoloso?
R: Un open relay è un server SMTP che accetta di inoltrare email per chiunque, senza autenticazione. È una falla di sicurezza sfruttata dagli spammer. Il tuo server verrà rapidamente inserito in blocklist.
D: Cosa significa il banner SMTP?
R: Il banner è la prima risposta del server (codice 220). Contiene l'hostname e talvolta il software MTA. Un banner ben configurato non deve rivelare informazioni sensibili.
D: Il mio server MX è irraggiungibile, cosa fare?
R: Verifica il firewall (porta 25), il servizio SMTP e i record MX DNS. Alcuni hosting provider cloud bloccano la porta 25 in uscita di default.
D: Quale versione TLS è raccomandata?
R: TLS 1.2 minimo, TLS 1.3 raccomandato. Le versioni 1.0 e 1.1 sono obsolete e vulnerabili.
D: Come interpretare le estensioni EHLO?
R: STARTTLS (crittografia), SIZE (dimensione max), 8BITMIME (codifica), PIPELINING (performance), SMTPUTF8 (internazionalizzazione). Più il server ne supporta, più è moderno.
Strumenti complementari
| Strumento | Utilità |
|---|---|
| MTA-STS Record Check | Verifica la policy MTA-STS che impone TLS per il trasporto |
| TLS-RPT Record Check | Configura i report TLS per monitorare i fallimenti di connessione |
| Verifica DNS dominio | Audit completo SPF, DKIM, DMARC, MTA-STS, BIMI |
| Blocklist dominio | Verifica se il tuo dominio è in una blocklist |
| Mail Tester | Testa la deliverability completa delle tue email |
Risorse utili
- RFC 5321 (SMTP) : specifica del protocollo SMTP
- RFC 3207 (STARTTLS) : estensione SMTP per TLS
- RFC 8461 (MTA-STS) : trasporto strict TLS per SMTP
- RFC 7672 (DANE) : autenticazione SMTP basata su DNSSEC
Testa i tuoi server MX adesso
Inserisci il tuo dominio nello strumento qui sopra per ottenere una diagnosi completa in pochi secondi. Se i risultati rivelano problemi, consulta i casi d'uso sopra per le azioni correttive, oppure utilizza gli strumenti complementari per un audit email completo.
Impegno sulla privacy
Nessun dato di connessione SMTP viene memorizzato. I risultati non vengono registrati e nessuna email viene inviata durante il test. Il test open relay utilizza un comando RCPT TO senza inviare alcun messaggio (nessun DATA).