SMTP порт: 25, 465 или 587 — какой выбрать, порты IMAP и POP3

SMTP порт для отправки почты из почтового клиента — 587 с STARTTLS или 465 с неявным SSL/TLS: это порты submission, и оба требуют логин и пароль. Порт 25 предназначен для обмена письмами между серверами и у провайдеров часто закрыт. Для приёма писем применяют IMAP (993 с SSL или 143) и POP3 (995 с SSL или 110).

Ниже — назначение каждого почтового порта, чем STARTTLS отличается от неявного TLS, почему хостинги и провайдеры блокируют порт 25, какие адреса и порты указывать для Яндекса, Mail.ru, Gmail и Outlook, как проверить SMTP-порт из Windows и Linux и как открыть его на своём сервере.

Все почтовые порты: сводная таблица

Если нужен только номер порта, он здесь. Колонка «Кто подключается» подсказывает, какой порт писать в настройках программы, а какой нужен только серверам.

Порт 2525 не закреплён за SMTP в реестре IANA. Его открывают отдельные сервисы транзакционных рассылок на случай, если хостинг закрыл и 25, и 587. Использовать его имеет смысл, только если провайдер прямо указал этот порт в документации.

Что такое почтовые порты и зачем они нужны

Почтовый порт — это номер, по которому почтовый клиент или сервер устанавливает TCP-соединение с другим сервером для передачи писем. Каждому этапу доставки — отправке между серверами, отправке письма от клиента (submission) и получению почты — соответствуют свои стандартные порты, закреплённые за протоколами SMTP, POP3 и IMAP.

Правильно выбранный порт определяет не только работоспособность почты, но и её безопасность: от того, шифруется ли соединение и на каком этапе устанавливается TLS, зависит защита логина, пароля и содержимого писем от перехвата.

SMTP-сервер: что это и для чего предназначен протокол SMTP

SMTP (Simple Mail Transfer Protocol) — протокол, по которому письмо передаётся от отправителя к почтовому серверу получателя. Он отвечает только за отправку и пересылку; забирать письма из ящика SMTP не умеет, для этого есть IMAP и POP3. Действующая спецификация протокола — RFC 5321.

SMTP-сервер — программа, которая принимает письма по этому протоколу и доставляет их дальше. На практике под этим словом понимают две разные роли:

• Сервер отправки (MSA, Mail Submission Agent) — принимает письма от ваших программ после проверки логина и пароля. Это и есть адрес вида smtp.yandex.ru или smtp.gmail.com, который указывают в настройках клиента. Слушает порты 587 и 465.
• Сервер пересылки (MTA, Mail Transfer Agent) — ищет в DNS MX-запись домена получателя и передаёт письмо его серверу на порт 25. Такой сервер у получателя принимает почту от всего интернета без пароля, но только для своих доменов.

Путь письма выглядит так: почтовая программа → MSA провайдера (587 или 465) → MTA отправителя → MTA получателя (25) → ящик получателя → программа получателя забирает письмо по IMAP (993) или POP3 (995). Поэтому «адрес и порт SMTP-сервера» в настройках клиента — это всегда адрес сервера отправки вашего провайдера, а не сервера адресата.

Как выглядит SMTP-сессия

Протокол текстовый, и диалог с сервером можно прочитать глазами. Сервер отвечает трёхзначными кодами: 2xx — успех, 3xx — жду продолжения, 4xx — временная ошибка, 5xx — постоянный отказ.

S: 220 mail.example.com ESMTP
C: EHLO client.example.org
S: 250-mail.example.com
S: 250-STARTTLS
S: 250-AUTH LOGIN PLAIN
S: 250 SIZE 52428800
C: MAIL FROM:<user@example.org>
S: 250 OK
C: RCPT TO:<friend@example.com>
S: 250 OK
C: DATA
S: 354 End data with <CR><LF>.<CR><LF>
C: QUIT
S: 221 Bye

Строка 250-STARTTLS в ответе на EHLO означает, что сервер умеет переходить на шифрование, а 250-AUTH перечисляет способы входа. На порту 587 многие серверы показывают AUTH только после STARTTLS — так пароль никогда не передаётся открытым текстом.

Порты SMTP: 25, 587, 465

SMTP отвечает за отправку почты. У него три исторически сложившихся порта, и путаница между ними — одна из самых частых причин, почему письма не уходят.

Порт 25 — обмен между серверами (MTA-to-MTA)

Порт 25 — это оригинальный порт SMTP, предназначенный для передачи писем между почтовыми серверами (MTA). Когда сервер отправителя доставляет письмо серверу получателя, он подключается именно к порту 25 адресата. Использовать его для отправки писем из почтового клиента не рекомендуется, а зачастую и невозможно.

Порт 587 — submission со STARTTLS (рекомендуемый для клиента)

Порт 587 определён в RFC 6409 как порт message submission — именно через него почтовый клиент отправляет письмо на сервер провайдера. Соединение начинается в открытом виде и повышается до шифрованного командой STARTTLS. Требует аутентификации (SMTP AUTH). Это рекомендуемый порт для настройки исходящей почты в большинстве современных клиентов.

Порт 465 — SMTPS с неявным TLS

Порт 465 использует неявный (implicit) TLS: шифрование устанавливается сразу при подключении, до любых SMTP-команд. Долгое время он считался устаревшим, но RFC 8314 (2018) реабилитировал его и рекомендует implicit TLS для submission. Сегодня 465 и 587 — оба валидные варианты; выбор зависит от поддержки провайдером.

Какой порт SMTP по умолчанию

Стандартный порт SMTP в спецификации протокола — 25, и именно его подставляют программы, если номер не указан. Но для отправки из клиента «по умолчанию» правильнее считать 587: почтовые программы при автонастройке пробуют сначала его или 465, а к 25 обращаются только серверы. Если в поле порта стоит 25 и письма не уходят, первое, что стоит сделать, — поменять его на 587 или 465.

Порты приёма: POP3 и IMAP

Для получения почты используют два протокола. POP3 скачивает письма на устройство и обычно удаляет их с сервера, а IMAP синхронизирует состояние ящика между всеми устройствами, оставляя письма на сервере.

POP3 — порты 110 и 995

Порт 110 — это POP3 без шифрования (или со STARTTLS). Порт 995 — POP3 поверх неявного TLS (POP3S), безопасный вариант. Для любого современного ящика следует использовать 995. Протокол описан в RFC 1939.

IMAP — порты 143 и 993

Порт 143 — IMAP без шифрования (или со STARTTLS). Порт 993 — IMAP поверх неявного TLS (IMAPS). Порт 993 предпочтителен, так как обеспечивает шифрование с первой секунды соединения и рекомендован RFC 8314. Актуальная версия протокола — IMAP4rev2, RFC 9051.

Что значит «доступ по протоколу IMAP»

Сообщение вида «включите доступ по IMAP» означает, что почтовый сервис по умолчанию не пускает сторонние программы к ящику, и разрешение нужно дать вручную в веб-интерфейсе. Пока доступ выключен, клиент получает отказ при входе даже с верным паролем. Порт при этом менять не нужно: 993 остаётся 993, меняется только разрешение на стороне сервиса. Какой из двух протоколов выбрать для своего сценария, подробно разобрано в статье IMAP и POP3: в чём разница.

STARTTLS против неявного TLS

Разница между двумя моделями шифрования принципиальна. При STARTTLS (порты 587, 143, 110) соединение открывается в незашифрованном виде, а затем клиент командой STARTTLS переводит его в TLS. При неявном TLS (порты 465, 993, 995) шифрование включается сразу при установке TCP-соединения.

Неявный TLS считается более надёжным против атак понижения (downgrade), когда злоумышленник вырезает команду STARTTLS и вынуждает соединение остаться открытым. Именно поэтому RFC 8314 рекомендует для новых конфигураций отдавать предпочтение implicit TLS: 465 для отправки, 993 для IMAP, 995 для POP3.

Ключевое правило: STARTTLS без принудительной проверки может быть отключён атакующим. Если провайдер поддерживает implicit TLS (465/993/995), выбирайте его.

Как называются эти режимы в настройках программ

Почтовые клиенты называют режимы по-разному, и из-за этого пары «порт — шифрование» часто собирают неправильно:

Если выбрать SSL/TLS для порта 587 или STARTTLS для порта 465, клиент зависнет на подключении или вернёт ошибку рукопожатия: сервер ждёт одного протокола, а приходит другой.

SMTP порты Яндекса, Mail.ru, Gmail и Outlook

Ниже — адреса серверов и порты крупных почтовых сервисов, которые чаще всего ищут. Перед настройкой сверьтесь со справкой провайдера: сервисы меняют требования ко входу чаще, чем номера портов.

Порт SMTP сервера Яндекса и Mail.ru: что ещё нужно, кроме порта

С правильным портом отправка всё равно может не работать, если не выполнены два условия:

1. Разрешить доступ почтовым программам. В Яндекс Почте это делается в разделе «Все настройки» → «Почтовые программы»: нужно отметить доступ по IMAP (или POP3) и способ авторизации. В Mail.ru аналогичный переключатель находится в настройках ящика в разделе почтовых программ.
2. Использовать пароль приложения. Яндекс, Mail.ru и Gmail при включённой двухфакторной защите не принимают основной пароль от сторонних программ. Пароль приложения создаётся в настройках безопасности аккаунта и вводится в клиент вместо обычного. Ошибка 535 Authentication failed при верном логине почти всегда означает именно это.

Логином для SMTP служит полный адрес ящика, например user@yandex.ru, а не только часть до «@». Для Outlook.com сервис Microsoft может потребовать вход через окно учётной записи (OAuth) — старые клиенты, которые умеют только логин и пароль, в этом случае подключиться не смогут.

Почта на своём домене

Если ящик живёт на домене компании, адрес SMTP-сервера задаёт тот, кто обслуживает почту: хостинг, Яндекс 360, VK WorkSpace или собственный сервер. Узнать, куда смотрит почта домена, можно по MX-записи — подробно об этом в статье MX-записи: настройка почты для домена. Порты при этом те же: 465 или 587 для отправки, 993 для IMAP.

Почему порт 25 закрыт у провайдеров и хостингов

Многие интернет-провайдеры и облачные хостинги блокируют исходящие соединения на порт 25. Причина историческая: заражённые компьютеры массово рассылали спам напрямую через порт 25, минуя контроль. Блокировка порта 25 на клиентских сетях резко снизила объём спама.

Практические следствия:

• Домашний интернет обычно не позволяет подключаться к внешнему порту 25 — отправляйте почту через 587 или 465 своего провайдера.
• Облачные провайдеры (AWS, Google Cloud, многие VPS-хостинги) закрывают порт 25 по умолчанию и открывают его только по запросу с обоснованием.
• Если вы поднимаете собственный почтовый сервер, порт 25 нужен для приёма входящей почты от других серверов — его блокировка на приём отличается от блокировки на отправку.

Если письма не уходят и в логах видно таймаут на порту 25 — почти наверняка провайдер блокирует исходящие соединения. Переключитесь на submission-порт.

То же касается сайтов: форма обратной связи на CMS, которая отправляет письма через mail() или напрямую на порт 25, на многих хостингах молчит. Надёжнее настроить в CMS или плагине отправку через SMTP-сервер почтового сервиса на порт 465 или 587 с логином и паролем ящика.

Какой порт выбрать в почтовом клиенте

Для настройки почтового клиента (Outlook, Thunderbird, Apple Mail, мобильные приложения) придерживайтесь простой схемы:

1. Исходящая почта (SMTP): порт 587 с STARTTLS или порт 465 с SSL/TLS. Обязательно включите аутентификацию по логину и паролю.
2. Входящая почта, IMAP: порт 993 с SSL/TLS (предпочтительно). Порт 143 — только если 993 недоступен.
3. Входящая почта, POP3: порт 995 с SSL/TLS. Порт 110 — только как запасной вариант.

Точные значения всегда уточняйте в документации почтового провайдера — некоторые сервисы поддерживают только один из submission-портов. Никогда не используйте порт 25 в настройках клиента.

Как проверить SMTP порт

Прежде чем разбираться с настройками клиента, полезно убедиться, что нужный порт вообще доступен и на нём действительно слушает почтовый сервер с корректным TLS. Проверка идёт в три шага: открыт ли TCP-порт, отвечает ли SMTP, работает ли TLS.

Шаг 1. Открыт ли порт

В Windows (PowerShell) — без установки дополнительных программ:

Test-NetConnection smtp.yandex.ru -Port 465

В выводе смотрите на строку TcpTestSucceeded : True. Значение False означает, что соединение не установилось: порт закрыт на сервере, в вашей сети или у провайдера.

В Linux и macOS:

# через telnet
telnet smtp.example.com 587

# или через netcat (тише и удобнее для скриптов)
nc -vz smtp.example.com 587

# сразу несколько почтовых портов
nmap -p 25,465,587,993,995 smtp.example.com

В Windows клиент telnet по умолчанию выключен; включить его можно командой dism /online /Enable-Feature /FeatureName:TelnetClient из командной строки администратора. Подробнее о ручной проверке — в статье как проверить почтовый сервер: SMTP, TLS, релей и PTR.

Шаг 2. Отвечает ли SMTP

Подключитесь telnet к порту 25 или 587 и дождитесь приветствия с кодом 220. Затем введите EHLO test — сервер перечислит поддерживаемые расширения. Если приветствия нет, а соединение сразу рвётся, на порту работает не SMTP или вас отсекает файрвол. На порт 465 telnet подключится, но приветствия не покажет: сервер ждёт TLS-рукопожатия, а не текста.

Шаг 3. Работает ли TLS

Проверить TLS-рукопожатие на submission-порту (STARTTLS):

openssl s_client -connect smtp.example.com:587 -starttls smtp

Проверить неявный TLS на порту 465 или IMAPS 993:

openssl s_client -connect smtp.example.com:465
openssl s_client -connect imap.example.com:993

Если openssl показывает цепочку сертификатов и строку с версией TLS — сервер настроен корректно. Ошибка wrong version number обычно значит, что вы обращаетесь с неявным TLS к порту, где сервер ждёт STARTTLS, или наоборот. Полную отправку с авторизацией удобно проверить утилитой swaks:

swaks --to you@example.com --server smtp.example.com --port 587 --tls --auth LOGIN --auth-user user@example.com

Если соединение зависает или отвечает таймаутом, порт закрыт файрволом или провайдером.

Проверка онлайн

Не хочется работать в командной строке? Воспользуйтесь нашим инструментом проверки открытости портов — укажите хост и номер порта, и он покажет доступность за пару секунд, в том числе с разных регионов. Проверка снаружи полезна тем, что показывает порт из интернета, а не из вашей сети, где исходящий 25 может быть закрыт провайдером. Диалог SMTP, поддержку STARTTLS и сертификат сервера покажет SMTP-тест, а MX-записи домена — DNS-проверка.

Как открыть SMTP порт на своём сервере

Если почтовый сервер ваш, порт должен быть открыт в трёх местах: сервер слушает его, локальный файрвол его пропускает, а хостинг не блокирует на уровне сети.

Убедиться, что сервер слушает порт

ss -tlnp | grep -E ':(25|465|587|993|995) '

Если строки для 587 или 465 нет, сервис submission не включён. В Postfix за это отвечает файл /etc/postfix/master.cf:

submission inet n       -       y       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
smtps     inet  n       -       y       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes

После правки выполните postfix reload. Параметр smtpd_tls_security_level=encrypt запрещает авторизацию без шифрования на 587, а smtpd_tls_wrappermode=yes включает неявный TLS на 465.

Открыть порт в файрволе

# Ubuntu / Debian (ufw)
sudo ufw allow 25/tcp
sudo ufw allow 587/tcp
sudo ufw allow 465/tcp

# CentOS / AlmaLinux (firewalld)
sudo firewall-cmd --permanent --add-port=587/tcp
sudo firewall-cmd --reload

В Windows Server правило добавляется из PowerShell:

New-NetFirewallRule -DisplayName "SMTP Submission" -Direction Inbound -Protocol TCP -LocalPort 587 -Action Allow

Если порт 25 закрыт хостингом

Файрвол сервера на исходящую блокировку провайдера не влияет. Если исходящие соединения на порт 25 режет облако, помогает только заявка в поддержку с описанием назначения сервера или отправка через внешний SMTP-релей на порт 587. Входящий порт 25 обычно не блокируется, но его стоит проверить снаружи: без него сервер не получит почту от других доменов.

Открытый порт 25 не означает открытый релей: сервер должен принимать на нём письма только для своих доменов, а отправку наружу разрешать лишь авторизованным пользователям на 587 и 465. Иначе через него начнут рассылать спам, а IP окажется в чёрных списках.

Типичные ошибки и что они значат

Связанные материалы

Настройка почты не ограничивается портами. Чтобы письма доходили и не попадали в спам, важно правильно сконфигурировать DNS-записи и мониторить сервер:

• MX-записи: настройка почты для домена — куда направлять входящую почту.
• SPF, DKIM и DMARC: полное руководство — аутентификация писем против подделки.
• Мониторинг почтового сервера — как отслеживать доступность и очереди.

Частые вопросы

Какой порт использовать для отправки почты — 587 или 465?

Оба порта корректны и безопасны. Порт 587 работает через STARTTLS и определён стандартом submission (RFC 6409). Порт 465 использует неявный TLS и рекомендован RFC 8314 как более устойчивый к атакам понижения. Если провайдер поддерживает 465 — выбирайте его; если нет — используйте 587.

Почему не отправляются письма через порт 25?

Большинство интернет-провайдеров и облачных хостингов блокируют исходящие соединения на порт 25 для борьбы со спамом. Порт 25 предназначен для передачи почты между серверами, а не для отправки из клиента. Для отправки писем используйте submission-порт 587 или 465 с аутентификацией.

Какой SMTP-порт у Яндекса?

Сервер smtp.yandex.ru, порт 465, шифрование SSL/TLS. Для приёма — imap.yandex.ru на порту 993. В настройках Яндекс Почты нужно разрешить доступ почтовым программам, а при двухфакторной защите войти с паролем приложения.

Что безопаснее — STARTTLS или SSL/TLS?

Неявный TLS (SSL/TLS на портах 465, 993, 995) устойчивее, потому что шифрование включается сразу при подключении. STARTTLS открывает соединение в незашифрованном виде, и атакующий теоретически может вырезать команду перехода на TLS. При наличии выбора предпочитайте неявный TLS.

Как узнать, какие порты открыты на моём почтовом сервере?

Используйте команду nc -vz host порт или telnet host порт для проверки доступности TCP-порта, а openssl s_client — для проверки TLS. На самом сервере список слушающих портов покажет ss -tlnp. Либо воспользуйтесь онлайн-инструментом проверки портов на enterno.io, указав хост и номера портов 25, 465, 587, 993, 995.

Нужно ли открывать порт 25 на своём сервере?

Да, если ваш сервер принимает входящую почту от других серверов — они подключаются именно к порту 25 вашего MTA. Блокировка порта 25 на приём сделает домен недоступным для получения писем. Блокировка на отправку (у провайдера) — отдельный вопрос и касается только исходящих соединений клиентов.

Источники

• RFC 5321 — Simple Mail Transfer Protocol
• RFC 6409 — Message Submission for Mail (порт 587)
• RFC 8314 — Cleartext Considered Obsolete: Use of TLS for Email (implicit TLS)
• RFC 9051 — IMAP4rev2
• IANA Service Name and Transport Protocol Port Number Registry