hollop.net

Comprobación del servidor de correo

Una prueba para la recepción de correo de un dominio: ¿son correctos los MX, habla cada servidor STARTTLS con certificado válido, están bien configurados MTA-STS, TLS-RPT y DANE?

STARTTLS en el puerto 25Política MTA-STS comprobadaDANE frente al certificado real
Ejemplos:

Introduce un dominio, p. ej. la parte tras la @ de tu dirección de correo. Las consultas pasan por el servidor de hollop.net; no se guarda nada.

DNS mediante DNS over HTTPS; la comprobación STARTTLS es una conexión SMTP hasta el handshake TLS. No se envía ningún correo.

Funciona junto con

Comprobador SSL →Certificado de un MX en el puerto 25 en detallepasa los datos directamenteCAA y DANE →Comprobar o crear TLSA para los MXpasa los datos directamenteSPF · DMARC · DKIM →SPF, DMARC y DKIM en detallepasa los datos directamenteWhois / RDAP →Registrador, caducidad y DNSSEC del dominiopasa los datos directamente

Ver todos los flujos →

Qué comprueba la herramienta

Que el correo llegue depende de los registros MX. Que viaje cifrado y protegido lo deciden STARTTLS, MTA-STS y DANE. SPF y DMARC evitan que otros envíen en tu nombre.

MTA-STS y TLS-RPT

STARTTLS por sí solo se puede suprimir: un atacante elimina la oferta y el remitente entrega sin cifrar. MTA-STS (RFC 8461) lo evita. Publicas por HTTPS una política con los MX válidos y la obligación de TLS. Los remitentes la guardan max_age segundos.

  1. Registro TXT _mta-sts.example.com con v=STSv1; id=20261113. Aumenta el id con cada cambio de política.
  2. El archivo https://mta-sts.example.com/.well-known/mta-sts.txt con version, mode, una línea mx por MX y max_age. Certificado válido para mta-sts.example.com, sin redirección.
  3. Empieza con mode: testing y configura TLS-RPT (_smtp._tls). Tras unas semanas de informes limpios, cambia a enforce.

Importante: si falta un MX en la política o tiene un certificado no válido, los remitentes en modo enforce dejan de entregar allí. Comprueba el certificado del MX en el comprobador SSL con el puerto 25.

DANE

DANE (RFC 7672) vincula el certificado al DNS con un registro TLSA y requiere DNSSEC en la zona de los MX. Lo habitual es 3 1 1, el hash SHA-256 de la clave pública. Al cambiar de certificado, publica antes el nuevo TLSA o los remitentes con DANE no entregarán. Crea y comprueba TLSA en CAA y DANE.

El puerto 25 desde aquí

Para STARTTLS el servidor abre una conexión SMTP en el puerto 25. Si el proveedor bloquea ese puerto de salida, la herramienta lo indica. Entonces ayuda el comando openssl bajo el resultado.

FAQ

¿Qué diferencia hay entre MTA-STS y DANE?

Ambos imponen la entrega cifrada. MTA-STS se apoya en HTTPS y en autoridades de certificación públicas, sin DNSSEC. DANE guarda el certificado en el DNS y necesita DNSSEC. Google y Microsoft admiten MTA-STS, muchos proveedores europeos DANE. Se pueden usar ambos.

¿Necesito un servidor web para MTA-STS?

Sí, en mta-sts.tu-dominio debe servirse por HTTPS un pequeño archivo de texto. Basta cualquier alojamiento con certificado válido.

¿Por qué dice «puerto 25 inaccesible»?

O el cortafuegos del servidor de correo no admite conexiones, o nuestro servidor no puede llegar al puerto 25 en ese momento. La herramienta detecta el segundo caso con una prueba cruzada y lo indica.

¿Se envía un correo durante la prueba?

No. La conexión termina justo después del handshake TLS, antes de indicar remitente.

¿Dónde compruebo DKIM?

DKIM depende del selector del remitente y no se puede consultar para todo un dominio. En la herramienta SPF · DMARC · DKIM puedes comprobar un selector concreto.