Ferramentas populares

Tema

Teste SMTP: Verifique Qualquer Servidor de E-mail

Um teste SMTP grátis: use para testar qualquer servidor de e-mail ao vivo nas portas 25, 587, 465 ou 2525. Veja a saudação, o TLS e o certificado, e se ele faz relay para estranhos. Sem senha, sem enviar e-mail.

Uma sessão ao vivo do nosso servidor de teste em Mumbai · Google Public DNS · 4 repositórios raiz · Team Cymru · as listas do Verificador de Lista Negra de IP
Servidor de teste online · Mumbai

Porta 25: onde os servidores entregam e-mails uns aos outros. Um domínio ou endereço de e-mail testa os servidores MX dele.

Experimentegmail.comMXsmtp.gmail.com587smtp.gmail.com465smtp.office365.com587smtp.sendgrid.net2525
O que o teste verifica, em ordem
  1. Conexão
  2. Saudação
  3. EHLO
  4. STARTTLS
  5. Certificado
  6. EHLO após o TLS
  7. Login com senha
  8. Verificação de relay

Uma sessão SMTP do nosso servidor de teste: sem senha, sem DATA, nenhum e-mail enviado. As respostas ficam guardadas por 2 minutos para que testes repetidos sejam rápidos; não mantemos registro do que você testa.

O que um teste SMTP verifica?

Um teste SMTP abre a mesma conversa que um servidor de envio abriria: conecta, espera a saudação 220, se apresenta com EHLO, passa para TLS com STARTTLS, verifica o certificado, pergunta EHLO de novo e, na porta 25, pede ao servidor que entregue para o domínio de um estranho. Cada etapa responde com um código de três dígitos, e as respostas dizem o que funciona.

Paramos antes de qualquer coisa sair: sem senha, sem DATA, então nenhum e-mail é enviado. Cada etapa falha do seu jeito, e o jeito como falha mostra quem precisa corrigir.

  1. 1Conexão3 msfiltrada · fechada
  2. 2Saudação220 · 236 ms421 · 554 · silêncio
  3. 3EHLO250 · 245 ms500 → HELO
  4. 4STARTTLS220 · 233 ms454 · não oferecido
  5. 5TLS1.3 · 6 msTLS antigo · sem cifra comum
  6. 6Certificadoválido · 58 dexpirado · autoassinado · nome errado
  7. 7EHLO de novo250 · 237 msAUTH antes do TLS
  8. 8Verif. de relay550 · 475 ms250 = relay aberto
Um teste real de gmail-smtp-in.l.google.com na porta 25, feito do nosso servidor de teste em 24 out 2026. Sob cada etapa: como ela falha. A linha sob as etapas é a conexão: legível até o STARTTLS, criptografada depois.
Teste SMTP de gmail-smtp-in.l.google.com na porta 25: o veredito, cada etapa e a conversa SMTP com STARTTLSTeste SMTP de gmail-smtp-in.l.google.com na porta 25: o veredito, cada etapa e a conversa SMTP com STARTTLSUm vereditoFuncionando, funcionando com problemas, relay aberto, recusado, inacessível: a resposta em uma frase, com o que a sustenta.Os fatosO endereço, a rede, o nome do DNS reverso, a criptografia, o certificado e as blacklists, num relance.Passo a passoCada etapa da sessão com a espera do servidor: conexão, saudação, EHLO, STARTTLS, o certificado, EHLO de novo, login e a verificação de relay.Onde o TLS começaA conversa inteira, linha por linha. Acima da emenda ela é legível pelo caminho; abaixo, criptografada.
Um teste real do servidor de e-mail do Gmail na porta 25, feito do nosso servidor de teste. Selecione um número para ver o que cada parte mostra.

Qual porta SMTP usar: 25, 587, 465 ou 2525?

A porta 25 é para servidores que entregam uns aos outros: é onde os servidores MX de um domínio escutam, e ninguém faz login. A porta 587 é onde o seu app de e-mail entrega uma mensagem ao provedor, depois do STARTTLS e de uma senha (RFC 6409). A porta 465 faz o mesmo com TLS desde o primeiro byte.

A porta 2525 nem é uma porta de e-mail no registro da IANA: pertence a “ms-v-worlds”. SendGrid, Mailgun e Postmark a abrem porque algumas redes bloqueiam a 587. E como o spam já saiu aos montes de computadores domésticos infectados, a maioria das nuvens e muitos provedores residenciais bloqueiam por padrão a porta 25 de saída.

  • 587STARTTLS, depois login
  • 465TLS primeiro, depois login
  • 2525onde a 587 é bloqueada
  • 25servidor a servidor, sem login
Provedor255874652525
Gmail / Google Workspacesmtp.gmail.com––✓✓––
Microsoft 365smtp.office365.com✓melhor✓não✕––
SendGridsmtp.sendgrid.net✓melhor✓✓✓
Mailgunsmtp.mailgun.org✓✓✓✓
Postmarksmtp.postmarkapp.com✓✓––✓

Porta 25 de saída bloqueada por padrão: AWS · Google Cloud · Azure · Comcast. A porta 587 deve ficar aberta (RFC 5068).

Portas que o host de envio de cada provedor aceita, segundo as próprias páginas de configuração dele (outubro de 2026). O Microsoft 365 não tem a 465: exige STARTTLS na 587.

Códigos de resposta SMTP: o que significam 220, 250, 421, 550 e 554

Toda resposta SMTP começa com três dígitos. O primeiro diz o que fazer: 2 feito, 3 envie mais, 4 tente de novo mais tarde, 5 não tente de novo. O segundo agrupa o assunto (0 sintaxe, 2 conexão, 5 o sistema de e-mail), e o terceiro é o detalhe.

A maioria dos servidores acrescenta um código estendido como 5.1.1 depois dele (quando listam ENHANCEDSTATUSCODES): classe, assunto (1 endereçamento, 7 segurança ou política), detalhe. O texto depois dos códigos é para pessoas e muda de servidor para servidor: leia primeiro os números.

  • 220Serviço prontoa saudação · após o STARTTLS
  • 221Encerrando a conexãoapós o QUIT
  • 250OK, feitoEHLO · MAIL · RCPT · RSET
  • 354Comece a enviar a mensagemapós o DATA: nunca chegamos aqui
  • 421Indisponível agora, encerrandoa saudação: ocupado ou limites
  • 451Tente de novo mais tardeRCPT: greylisting
  • 454TLS indisponível no momentoSTARTTLS
  • 530Faça login primeiroMAIL na porta 587
  • 535Usuário ou senha incorretosAUTH: nunca enviamos uma
  • 550Caixa indisponível ou não permitidaRCPT: a verificação de relay
  • 554Sem serviço SMTP aquia saudação: recusado
Os códigos que este teste encontra, e onde. Cores pelo primeiro dígito: 2 feito, 3 em espera, 4 temporário, 5 permanente (RFC 5321 §4.2; 454, 530 e 535 das RFCs 3207 e 4954).

STARTTLS ou TLS implícito: porta 587 ou 465?

Com STARTTLS (porta 587, e porta 25 entre servidores) a conversa começa em texto simples e passa para TLS no meio. Até a troca, qualquer um no caminho pode lê-la, e pode apagar discretamente o STARTTLS da lista do servidor: um remetente sem MTA-STS nem DANE então segue sem criptografia.

Com TLS implícito (porta 465) o handshake TLS vem primeiro, antes de o servidor dizer uma palavra. A RFC 8314 (2018) pede que os apps de e-mail o prefiram; bem configurados, os dois são igualmente seguros. Entre servidores na porta 25, só existe STARTTLS.

587STARTTLSsmtp.gmail.com
  1. ←220smtp.gmail.com ESMTP
  2. →EHLO probe.dnsrobot.net
  3. ←250SIZE · 8BITMIME · STARTTLS · …
  4. →STARTTLS
  5. ←2202.0.0 Ready to start TLS
TLS 1.3negociação 6 ms
  1. →EHLO probe.dnsrobot.net
  2. ←250SIZE · AUTH LOGIN PLAIN XOAUTH2 …
  3. →AUTH … (seu app)

As cinco primeiras linhas viajam legíveis: um atacante pode remover o STARTTLS aqui.

465TLS implícitosmtp.gmail.com
TLS 1.3negociação 6 ms
  1. ←220smtp.gmail.com ESMTP
  2. →EHLO probe.dnsrobot.net
  3. ←250SIZE · AUTH LOGIN PLAIN XOAUTH2 …
  4. →AUTH … (seu app)

Nada viaja legível: não há STARTTLS para remover.

O mesmo servidor, smtp.gmail.com, testado nas duas portas a partir do nosso servidor de teste. O trilho tracejado é legível pelo caminho; o trilho ciano é criptografado.

EHLO: o que significa a lista de extensões do servidor

Um cliente abre com EHLO e o seu nome; o servidor responde 250 com uma linha por extensão que aceita. Essa lista é o cardápio do servidor: a maior mensagem, se ele pode passar para TLS, quais métodos de login aceita.

Depois do STARTTLS o cliente deve esquecer a lista e perguntar de novo (RFC 3207). Um servidor bem configurado então tira o STARTTLS e muitas vezes acrescenta AUTH, de modo que as senhas só são oferecidas dentro do TLS. AUTH PLAIN ou LOGIN na lista antes do TLS é um problema: um app poderia enviar a senha em texto simples.

  1. SIZE 35882577Maior mensagem: 34,2 MBSIZE 35882577
  2. 8BITMIMEAcentos e texto não latino passam sem alteração8BITMIME
  3. STARTTLSPode passar para TLS: oferecido só antes delesumiu
  4. ainda nãoLogin com senha ou OAuth: oferecido só dentro do TLSAUTH LOGIN PLAIN XOAUTH2 …
  5. ENHANCEDSTATUSCODESAs respostas trazem códigos como 5.1.1ENHANCEDSTATUSCODES
  6. PIPELININGVários comandos de uma vezPIPELINING
  7. CHUNKINGA mensagem em blocos de tamanho definido (BDAT)CHUNKING
  8. SMTPUTF8Endereços como ü@example.comSMTPUTF8

Também vistos: DSN relatórios de entrega · VRFY “este usuário existe?” (muitas vezes desativado) · REQUIRETLS TLS em cada salto · BINARYMIME binário bruto com CHUNKING · ETRN servidores de backup buscam o e-mail da fila.

smtp.gmail.com na porta 587: a resposta ao EHLO antes e depois do STARTTLS. O STARTTLS some e o AUTH aparece, como pedem as RFCs 3207 e 4954.

Teste de relay SMTP: seu servidor de e-mail é um relay aberto?

Um relay aberto (open relay) entrega e-mail de qualquer um para qualquer lugar, então os spammers os procuram e as blacklists os listam. A RFC 2505 pede desde 1999 que os servidores de e-mail o recusem, e os servidores de submissão nunca devem fazer relay sem login (RFC 5068).

Na porta 25 pedimos ao servidor, como um estranho, que entregue para o domínio de outra pessoa: MAIL FROM com o nosso endereço de teste, depois RCPT TO:<relay-test@example.com>. Um 4xx ou 5xx recusa: bom. Um 250 aceita: um forte indício de relay aberto, embora alguns servidores só recusem depois, após o DATA. Nunca enviamos DATA, então nada é entregue de qualquer forma.

  1. MAIL FROM
  2. RCPT TO ?
  3. RSET
  4. DATA nunca
  5. QUIT
Uma recusa prova

que este servidor não fará relay para este estranho a este domínio. O Gmail respondeu 550 5.1.1: ele não aceita e-mail para example.com de jeito nenhum.

Ela não prova

que ele recusa todo mundo (pode confiar em algumas redes), e um 250 não prova que o e-mail sairia: alguns servidores recusam depois do DATA.

Nossa verificação, como roda só na porta 25: quatro comandos e QUIT. As portas 587 e 465 pedem login primeiro, então a verificação não é feita nelas.

Certificados em servidores de e-mail: MTA-STS e DANE

Entre servidores de e-mail, um certificado só é verificado se o domínio receptor pedir. Sem uma política, o remetente aceita qualquer certificado, até um expirado, e volta ao texto simples se o STARTTLS falhar.

O MTA-STS publica uma política por HTTPS: entregar só por TLS, a estes nomes MX, com um certificado válido. O DANE fixa a chave do servidor no DNS (um registro TLSA), o que exige DNSSEC. Nosso teste verifica o certificado do jeito MTA-STS, contra o nome do próprio servidor, e mostra a política do domínio ao lado.

Nome deve bater com o MXNão expiradoCA confiávelExige DNSSECSem downgrade
STARTTLS oportunistasem política–––––
MTA-STSmta-sts.<domain>/.well-known/mta-sts.txt–
DANE_25._tcp.<mx> TLSA, zona assinadachave conferechave conferenão necessário
política MTA-STS de gmail.com
version: STSv1
mode: enforce
mx: smtp.google.com
mx: gmail-smtp-in.l.google.com
mx: *.gmail-smtp-in.l.google.com
max_age: 86400
certificado de mx.google.com · 26 nomes
mx.google.com
smtp.google.com
aspmx.l.google.com
gmail-smtp-in.l.google.com
alt1.gmail-smtp-in.l.google.com
… alt4, gmr-smtp-in, mx1.smtp.goog
válido até 21 de dez. de 2026 · Google Trust Services WE2
A política ativa do Gmail e o certificado que os servidores MX dele apresentam (24 out 2026): todo nome MX da política é coberto. O gmail.com não tem DANE: a zona dele não é assinada com DNSSEC.

Como testar um servidor SMTP do seu próprio computador

Nosso teste roda do nosso servidor, então mostra o que a internet vê. Se a sua rede deixa você sair pela porta 25 ou 587 é outra pergunta, e uma página web não consegue respondê-la: os navegadores se recusam a abrir as portas 25, 465 e 587 (as “bad ports” do padrão Fetch).

Execute um destes no seu próprio computador. No Windows, Test-NetConnection responde em um segundo. No macOS e no Linux, openssl s_client faz a atualização para STARTTLS por você e mostra o certificado; depois digite EHLO test e você já está falando SMTP. O swaks automatiza uma sessão inteira.

WindowsmacOSLinux
$ openssl s_client -starttls smtp -connect smtp.gmail.com:587 -crlf
depth=0 CN=smtp.gmail.com
Protocol: TLSv1.3 · Cipher is TLS_AES_256_GCM_SHA384
Verification: OKconfiável
› EHLO test
250-smtp.gmail.com at your service
250-AUTH LOGIN PLAIN XOAUTH2 PLAIN-CLIENTTOKEN OAUTHBEARER XOAUTHlogin dentro do TLS
250 SMTPUTF8
Nosso servidor de testeporta 25 aberta
Seu computadorseu provedor pode bloquear a 25
Uma página web25 · 465 · 587 recusadas
Uma execução em um notebook em 24 out 2026 (o endereço que o servidor devolveu foi omitido). As faixas: quem alcança a porta de um servidor de e-mail, e quem decide.

Por que um servidor de e-mail recusa um teste SMTP

Uma recusa nem sempre é um servidor quebrado. Os servidores de e-mail se defendem: rejeitam endereços em blacklists, atrasam ou retardam estranhos e limitam quantas conexões um remetente abre. Nosso teste é um estranho para todo servidor que consulta, então encontra essas defesas primeiro.

Leia a primeira resposta. Um 4xx é temporário, e remetentes de verdade tentam de novo. Um 554 na saudação ou um 5xx no RCPT é uma decisão de política sobre o remetente, que pode não valer para o seu. Nenhuma resposta é uma questão de rede, não de SMTP.

  • Nosso endereço está bloqueado por política5545.7.1 Service unavailable; client host blocked

    Ele rejeita o nosso servidor de teste, e talvez o seu. Veja as blacklists dele e a lista de permitidos do servidor.

  • Ocupado demais, ou limite de taxa4214.7.0 Too many concurrent SMTP connections

    Temporário: os remetentes tentam o 421 de novo por horas. Teste de novo em alguns minutos.

  • Greylisting4514.7.1 Greylisted, please try again later

    Remetentes desconhecidos são convidados a voltar mais tarde. Servidores de verdade voltam, então o e-mail chega atrasado, não se perde.

  • Uma saudação lenta (tarpit)… 18 s de silêncio … 220mail.example.net

    A RFC 5321 permite que os remetentes esperem 5 minutos. Nosso teste espera 15 segundos e avisa.

  • Sem DNS reverso para o remetente5505.7.25 The IP address sending this message does not have a PTR record

    A resposta do Gmail a um remetente sem registro PTR. Nosso servidor de teste tem um.

  • Um firewall derruba a conexãosem resposta em 10 s (filtrada)

    A porta deixa entrar só remetentes conhecidos, ou uma rede no caminho a bloqueia.

As seis recusas que um teste mais encontra, com a resposta que cada uma envia. O texto do 550 5.7.25 é do Gmail; os outros são redações típicas, que variam de servidor para servidor.

Autenticação SMTP: por que este testador de SMTP nunca pede a sua senha

Muitos testadores de SMTP pedem seu usuário e senha e enviam um e-mail de verdade. Nós não: uma senha digitada no site de outra pessoa é uma senha que você precisa trocar. O teste mostra o que você precisa sem ela: se o servidor oferece login, por quais métodos, e só dentro do TLS.

As senhas estão de saída de qualquer forma. O Google não deixa mais apps entrarem no Gmail só com a senha, e a Microsoft desativa por padrão a autenticação Basic no SMTP AUTH para os tenants existentes no fim de dezembro de 2026. Se o seu app ainda faz login com senha, teste-o no próprio app, com uma senha de app.

Métodos de login (registro SASL da IANA)
  • PLAINcomum
  • OAUTHBEARERcomum
  • SCRAM-SHA-256comum
  • CRAM-MD5limitado
  • LOGINobsoleto
  • XOAUTH2obsoleto
  • DIGEST-MD5obsoleto

O XOAUTH2 está marcado como obsoleto, mas é o que os apps do Gmail e do Microsoft 365 usam hoje.

Login com senha no SMTP: as datas de fim
Google
14 mar / 1º mai 2025: o Workspace encerra o login com senha
Microsoft 365
Basic auth inalteradofim dez 2026: desativado por padrão

A Microsoft anunciará a data final da remoção no segundo semestre de 2027. As próprias páginas do Google dão duas datas para o Workspace.

Situação do registro de mecanismos SASL da IANA; datas dos anúncios do Google e da Microsoft (o da Microsoft, de 27 jan 2026).

Teste SMTP: perguntas frequentes

O que é um teste SMTP e o que um verificador de SMTP mostra?

Um teste SMTP abre uma sessão SMTP real com um servidor de e-mail, como faria um servidor de envio, e lê cada resposta: a saudação, as extensões, a atualização para TLS, o certificado e, na porta 25, se ele faz relay de e-mail para estranhos. Esta ferramenta de teste SMTP para antes do DATA e nunca faz login, então nenhum e-mail é enviado e nenhuma senha é necessária.

Como testar um servidor SMTP?

Digite o nome do servidor (smtp.example.com) ou o endereço IP, ou um domínio ou endereço de e-mail para testar os servidores MX dele, escolha a porta e clique em Testar. O resultado mostra cada etapa com o tempo, a conversa inteira e o que corrigir. Para testar da sua própria rede, use os comandos abaixo do resultado: Test-NetConnection no Windows, openssl s_client no macOS e no Linux.

Qual porta devo usar: 25, 587, 465 ou 2525?

Apps de e-mail e sites enviam pelo provedor na porta 587, com STARTTLS e senha, ou na porta 465, com TLS desde o primeiro byte. Os servidores entregam uns aos outros na porta 25, sem login. A porta 2525 é uma alternativa não oficial que SendGrid, Mailgun e Postmark abrem onde a 587 é bloqueada; ela não é uma porta de e-mail no registro da IANA.

Meu provedor de internet está bloqueando a porta 25 ou 587?

Nosso teste não sabe dizer, porque roda do nosso servidor. AWS, Google Cloud, Azure e muitos provedores residenciais como a Comcast bloqueiam por padrão a porta 25 de saída; a RFC 5068 diz que os provedores não devem bloquear a 587. Para verificar a sua rede, execute Test-NetConnection smtp.gmail.com -Port 587 no PowerShell, ou nc -vz smtp.gmail.com 587 no macOS e no Linux. Um timeout significa bloqueio.

O que significam 220, 421 e 554 em um teste SMTP?

220 é a saudação: o servidor está pronto e se identifica. 421 significa “agora não”: o servidor está ocupado ou limitando conexões e encerra a linha, então tente de novo mais tarde. 554 na saudação significa que ele se recusa por completo a falar com este remetente, muitas vezes por causa de uma blacklist ou de uma política; remetentes em que ele confia ainda podem passar.

O que é STARTTLS e ele é obrigatório?

O STARTTLS passa uma conexão SMTP simples para TLS, de modo que o resto da conversa é criptografado. Os servidores de submissão na porta 587 costumam exigi-lo antes do login. Um servidor de e-mail público na porta 25 não deve exigi-lo para aceitar e-mail, mas deve oferecê-lo: Gmail, Microsoft 365 e a maioria dos provedores oferecem, e o nosso teste sinaliza um servidor que não oferece.

Por que o meu teste SMTP dá timeout?

Nenhuma resposta em 10 segundos significa que a porta está filtrada: um firewall derruba a conexão, ou o servidor só aceita remetentes conhecidos. Isso é diferente de uma conexão recusada, em que a máquina responde na hora e nada escuta na porta. Um servidor só com endereço IPv6 ainda não pode ser alcançado pelo nosso servidor de teste; o resultado diz isso em vez de “fora do ar”.

Vocês testam a autenticação SMTP com meu usuário e senha?

Não, de propósito: este testador de SMTP nunca aceita senhas. Ele mostra quais métodos de login o servidor oferece e se os oferece só dentro do TLS, que é o que um teste de senha exporia. Para testar o seu próprio login, use o seu app de e-mail, ou o swaks no seu próprio computador com uma senha de app, para que a senha nunca saia da sua máquina.

Como funciona o teste de relay aberto?

Na porta 25 o nosso servidor de teste pede ao servidor de e-mail, como um estranho, que entregue para um endereço em example.com. Uma recusa (4xx ou 5xx) é boa. Um 250 é um forte indício de relay aberto, que qualquer um poderia usar para enviar spam. Paramos antes do DATA, então nada é entregue, e alguns servidores que aceitam aqui recusam depois de qualquer forma.

Qual é a diferença entre EHLO e HELO?

Os dois abrem a conversa com o nome do cliente. O HELO é o comando mais antigo e recebe um simples OK. O EHLO pede também que o servidor liste as extensões: SIZE, STARTTLS, AUTH e as demais. Todo servidor atual responde ao EHLO; um cliente só volta ao HELO quando o EHLO é recusado, e o nosso teste sinaliza um servidor que precisa disso.

O teste SMTP envia um e-mail? Dá para testar o envio de e-mail por SMTP?

Não. Nosso servidor de teste diz QUIT antes do DATA, o comando que inicia uma mensagem, e nunca faz login. O servidor de e-mail vê uma conversa curta vinda de probe.dnsrobot.net e nada chega a nenhuma caixa de entrada. Para ver como uma mensagem real é recebida, use o nosso Verificador de Email, que lê um e-mail que você envia para ele.

Quais são as configurações SMTP do Gmail e do Outlook?

Gmail: smtp.gmail.com, porta 587 com STARTTLS ou 465 com TLS, com login por OAuth ou senha de app. Microsoft 365: smtp.office365.com, porta 587 com STARTTLS; não tem TLS implícito na 465. Outlook.com: smtp-mail.outlook.com na 587, com login moderno. Os botões de exemplo acima testam os dois primeiros.

Sentiu falta de algo?Sugira um recurso ou uma nova ferramenta

Mais ferramentas de e-mail e DNS