Port 25 bloqué ? Comment votre serveur, votre NAS ou votre boutique envoie quand même des e-mails
Si le port 25 sortant est bloqué par votre fournisseur d'accès (Proximus, Telenet, VOO, Orange…) ou par votre hébergeur cloud, votre serveur, votre NAS, votre imprimante ou votre boutique en ligne ne peut plus remettre directement d'e-mails. La solution : un relais SMTP authentifié sur le port 587 (STARTTLS). Votre appareil dépose l'e-mail chez le relais avec un identifiant et un mot de passe, et le relais le remet à destination. Vous ne contournez rien : vous utilisez simplement le port prévu à cet effet.
Vous lirez ci-dessous pourquoi ce blocage existe, comment le reconnaître et comment envoyer à nouveau en quatre étapes. 2Mail fournit ce relais depuis la Belgique ; le détail du service figure en bas de page.
Pourquoi les fournisseurs et les hébergeurs bloquent le port 25
Le port 25 est celui par lequel les serveurs de messagerie s'échangent les e-mails entre eux, sans identifiant. C'est précisément ce qui le rend si prisé des spammeurs : un PC infecté ou un serveur piraté peut y expédier directement des milliers de messages.
Abus par malwares et botnets
La plupart des fournisseurs d'accès bloquent les connexions sortantes sur le port 25 depuis les raccordements résidentiels et PME, pour qu'un appareil infecté sur leur réseau ne puisse pas envoyer de spam. Cela protège la réputation de leurs plages d'adresses IP, et donc celle de leurs clients honnêtes.
Fournisseurs d'accès belges
Chez les fournisseurs belges comme Proximus, Telenet, VOO et Orange, ce blocage est actif sur la plupart des raccordements. Qu'il puisse être levé ou non dépend du fournisseur et de l'abonnement, et cela change régulièrement. Renseignez-vous, mais n'y comptez pas.
Hébergeurs cloud et fournisseurs de VPS
Ceux qui louent un serveur virtuel s'y heurtent aussi souvent : bon nombre de plateformes cloud ferment le port 25 par défaut pour les nouveaux comptes et renvoient vers un relais sur le port 587. Ce n'est pas une panne, c'est une politique.
Le blocage n'est donc ni une erreur de votre logiciel ni une raison de changer de fournisseur. C'est en revanche une bonne raison de faire ce que les clients de messagerie font depuis des années : s'authentifier auprès d'un serveur d'envoi via le port 587.
Comment reconnaître que le port 25 est en cause
Les plaintes se ressemblent, mais la cause se trouve dans la couche réseau, pas dans votre logiciel. Ces signaux indiquent un port 25 bloqué.
La solution : un relais authentifié sur le port 587
Au lieu de frapper lui-même à la porte du serveur destinataire sur le port 25, votre appareil dépose l'e-mail chez un relais auprès duquel il s'authentifie. Ce relais se trouve sur un réseau où le port 25 est ouvert, dispose d'une réputation entretenue et remet l'e-mail à destination.
Port 587 avec STARTTLS
Le choix recommandé. La connexion démarre normalement puis bascule immédiatement en TLS, après quoi vous vous identifiez avec identifiant et mot de passe. Pratiquement tous les appareils et toutes les applications le prennent en charge.
Un identifiant distinct par appareil
Donnez à votre NAS, à votre imprimante et à votre boutique chacun leur propre identifiant SMTP. Si un appareil est infecté ou mis hors service, vous révoquez ce seul identifiant sans arrêter le reste.
Votre propre domaine expéditeur
Le relais envoie au nom de votre domaine. Configurez donc SPF, DKIM et DMARC, pour que le serveur destinataire sache que le relais y est autorisé. Sinon, l'e-mail finit quand même en spam, malgré le port ouvert.
Plan d'action : de bloqué à remis
Qu'il s'agisse d'un serveur Linux, d'un NAS, d'un multifonction ou d'une application web, les étapes sont les mêmes. Seul l'emplacement de l'écran de configuration change.
Confirmez que le port 25 est fermé et le port 587 ouvert
Testez depuis l'appareil ou le réseau une connexion vers un serveur de messagerie sur le port 25, puis sur le port 587. Si le 25 reste suspendu et que le 587 répond, vous tenez la cause. Utilisez les outils réseau de votre système ; sur un NAS ou une imprimante, la fonction de test intégrée suffit.
Créez un identifiant SMTP chez le relais
Enregistrez votre domaine d'envoi chez le relais et créez un identifiant distinct par appareil ou application. Notez le nom du serveur, le port 587, STARTTLS, le nom d'utilisateur et le mot de passe. Chez 2Mail, cela se fait dans le tableau de bord.
Renseignez les paramètres sur le serveur, le NAS, l'imprimante ou l'application
Sur un serveur de messagerie, configurez le relais comme "smarthost" ou "relayhost". Sur un NAS ou un multifonction, choisissez SMTP avec authentification dans le menu des notifications ou du scan-vers-e-mail. Dans WordPress, Odoo ou une application Laravel, saisissez les mêmes données dans les paramètres d'e-mail.
Configurez SPF et DKIM et envoyez un e-mail de test
Placez les enregistrements DNS que le tableau de bord vous indique et envoyez un test vers une adresse Gmail et une adresse Outlook. Vérifiez dans les logs du relais que l'e-mail figure comme remis. À partir de là, le relais surveille la remise pour vous.
Comment 2Mail s'y prend
2Mail est le relais SMTP managé de JAAN bv, avec ses propres serveurs en Belgique. Voici ce que vous obtenez concrètement.