03 - Porta TCP 25 (e 587, 465)

1. Definição Técnica e Histórica

O SMTP (Simple Mail Transfer Protocol) é o protocolo da Camada de Aplicação responsável pelo envio e roteamento de e-mails entre servidores na Internet. Padronizado originalmente na RFC 821 (1982) e modernizado nas RFCs 5321 (SMTP) e 5322 (formato de mensagem), o SMTP opera sobre TCP e utiliza tradicionalmente a porta 25 para comunicação servidor-a-servidor (MTA-to-MTA).

Com a evolução da Internet e o surgimento de necessidades como autenticação de usuários e cifragem do tráfego, surgiram duas portas adicionais amplamente adotadas: a porta 587 (Submission, RFC 6409) para envio autenticado cliente-a-servidor, e a porta 465 (SMTPS, legada) para SMTP sobre TLS implícito.

2. A Porta 25: Entrega entre Servidores (MTA-to-MTA)

A porta 25 é a porta padrão histórica do SMTP. Seu papel é a comunicação entre Mail Transfer Agents (MTAs), ou seja, o tráfego servidor-a-servidor que ocorre quando um e-mail enviado por usuario@empresa.com precisa ser entregue ao servidor de destinatario@gmail.com.

Por que ISPs bloqueiam a porta 25?

A maioria dos provedores residenciais bloqueia tráfego de saída na porta 25 para evitar que computadores comprometidos (zombies) enviem spam em massa diretamente para MTAs terceiros. Esta prática, documentada como recomendação de boas práticas, reduz drasticamente o volume de spam originado de bots domésticos.

3. A Porta 587: Submissão Autenticada (RFC 6409)

A porta 587 foi formalizada em 2007 pela RFC 4409 (posteriormente atualizada pela RFC 6409) como o canal oficial para submissão de e-mails por clientes de e-mail (MUA - Mail User Agent). A separação entre submissão (porta 587) e entrega (porta 25) trouxe clareza arquitetural:

• Porta 25: Tráfego entre servidores, sem autenticação obrigatória.
• Porta 587: Tráfego cliente-servidor, autenticação obrigatória (SASL) e cifragem recomendada (STARTTLS).

A transição para a porta 587 tornou-se tão importante que o Google, Microsoft e Yahoo passaram a exigir autenticação em suas portas de submissão, rejeitando qualquer tráfego não autenticado.

4. A Porta 465: SMTPS Legado (TLS Implícito)

A porta 465 foi registrada pela IANA em meados dos anos 1990 para SMTPS (SMTP sobre SSL/TLS implícito). Neste modelo, o servidor espera o handshake TLS imediatamente após a conexão TCP, sem negociação prévia em texto plano. Foi amplamente usado por clientes como Outlook Express e Mozilla Thunderbird.

A IANA revogou a atribuição oficial da porta 465 em 1998 quando a RFC 2487 definiu STARTTLS como o mecanismo preferido na porta 587/25. Porém, muitos provedores (Gmail, Outlook, Yahoo) continuam aceitando a porta 465 por compatibilidade com clientes legados que não implementam STARTTLS corretamente. Em 2018, a IANA reatribuiu a porta 465 ao serviço "URL Rendezvous Specification for H.323", mas na prática continua sendo usada para SMTPS.

5. Comparação Direta das Três Portas

6. Fluxo de uma Mensagem entre as Portas

Quando um usuário envia um e-mail, o fluxo típico envolve todas as três portas:

[Cliente MUA] --porta 587--> [Servidor de Submissão] --porta 25--> [MTA do Destinatário] --> [MUA do Destinatário]
                                                                            (IMAP/POP3 porta 993/995)

1. O cliente de e-mail (Outlook, Thunderbird) conecta à porta 587 do servidor do remetente, autentica com SASL e usa STARTTLS.
2. O servidor de submissão processa a mensagem e a entrega ao MTA local.
3. O MTA local consulta o registro MX do domínio do destinatário e estabelece conexão TCP na porta 25 do servidor de destino.
4. O servidor destino recebe a mensagem via porta 25 (com STARTTLS se disponível) e a entrega à caixa de entrada do destinatário.
5. O destinatário lê via IMAP (porta 993) ou POP3 (porta 995).

7. Segurança e Cifragem: STARTTLS vs TLS Implícito

STARTTLS (Porta 587 e 25)

A conexão inicia em texto plano com o comando SMTP EHLO. Se o servidor anunciar suporte a STARTTLS na resposta, o cliente pode emitir o comando STARTTLS para iniciar o handshake TLS. Após o handshake, a conexão é elevada a cifrada.

Risco: Um atacante em MitM pode remover o anúncio de STARTTLS da resposta do servidor, forçando downgrade para texto plano (ataque conhecido como SMTP STartTLS Stripping). Mitigado por políticas como MTA-STS (RFC 8461) e DANE TLSA (RFC 7672).

TLS Implícito (Porta 465)

A conexão já é TLS desde o primeiro byte. Não há negociação em texto plano. Mais seguro contra downgrade, mas obsoleto formalmente.

8. Comandos Básicos de Diagnóstico

# Testando entrega MTA-to-MTA na porta 25
nc -C mail.empresa.com 25
EHLO test.local
MAIL FROM:<remetente@empresa.com>
RCPT TO:<destino@gmail.com>
DATA
Subject: Teste
Teste de mensagem.
.
QUIT

# Testando submissão autenticada na porta 587
openssl s_client -starttls smtp -crlf -connect smtp.empresa.com:587

# Testando SMTPS implícito na porta 465
openssl s_client -crlf -connect smtp.empresa.com:465

# Verificando suporte STARTTLS anunciado
swaks --to destino@gmail.com --from remetente@empresa.com --server mail.empresa.com:25 --ehlo test

9. Resumo Técnico

10. Conclusão

A coexistência das portas 25, 587 e 465 reflete a evolução histórica do SMTP: da Internet de confiança mútua dos anos 1980, passando pela necessidade de autenticação nos anos 2000, até a era moderna de cifragem obrigatória. Para administradores de e-mail, a regra prática é: usar a porta 587 para clientes autenticados, manter a porta 25 aberta apenas para recebimento de outros MTAs, e oferecer a porta 465 como opção de compatibilidade para clientes legados. Compreender o papel de cada porta é fundamental para configurar servidores de e-mail seguros e em conformidade com as práticas modernas de deliverability.