Servidores SMTP: segurança e boas práticas de configuração

Um servidor SMTP mal configurado pode ser explorado por terceiros para enviar spam ou emails fraudulentos, comprometendo a reputação do seu domínio. Neste artigo explicamos o que verificar na configuração do seu servidor SMTP e como corrigir os problemas mais comuns.

O que é um servidor SMTP

O SMTP (Simple Mail Transfer Protocol) é o protocolo utilizado para enviar emails entre servidores. É o servidor SMTP do seu domínio que trata do envio de todas as mensagens – desde emails transacionais do site até às comunicações da sua equipa. A forma como este servidor está configurado tem impacto direto na segurança e na reputação do seu domínio.

Porque é importante

Um servidor SMTP mal configurado pode originar vários problemas de segurança:

  • Open relay (retransmissão aberta): quando o servidor aceita e reencaminha emails de qualquer remetente, sem autenticação, permitindo que terceiros o utilizem para enviar spam ou phishing em massa.
  • Falta de encriptação: sem STARTTLS ou TLS configurado, os emails podem ser transmitidos em texto claro, expondo o conteúdo a interceção.
  • Autenticação fraca: palavras-passe simples ou falta de autenticação adequada facilitam o acesso não autorizado ao servidor de envio.
  • Portas mal configuradas: utilizar portas desatualizadas ou sem cifra pode expor o servidor a ataques mais facilmente.

Se o seu domínio for utilizado para enviar spam devido a um servidor SMTP comprometido ou mal configurado, o IP e o domínio podem acabar na lista negra (blacklist) de vários serviços de email, impedindo a entrega de todos os seus emails legítimos – incluindo comunicações importantes com clientes.

Boas práticas

  • Desativar o open relay: o servidor nunca deve aceitar e reencaminhar emails de remetentes não autenticados ou não autorizados.
  • Exigir sempre autenticação (utilizador e palavra-passe, ou métodos mais seguros) para o envio de emails através do servidor.
  • Ativar STARTTLS ou TLS para encriptar a comunicação entre clientes de email e o servidor SMTP.
  • Utilizar portas seguras e atuais: 587 (com STARTTLS) para envio autenticado, ou 465 (com TLS implícito), evitando a porta 25 sem cifra sempre que possível para envio de clientes.
  • Implementar limites de taxa de envio (rate limiting) para reduzir o impacto de uma eventual conta comprometida.
  • Complementar a configuração do servidor SMTP com SPF, DKIM e DMARC, que reforçam a autenticidade dos emails enviados a partir do seu domínio.
  • Considerar implementar MTA-STS e/ou DANE, que forçam a entrega de email por ligações TLS encriptadas e validadas, protegendo contra ataques de downgrade.
  • Monitorizar os registos (logs) do servidor para identificar tentativas de acesso não autorizado ou picos anómalos de envio.

Como corrigir

  1. Confirme se o seu servidor SMTP está configurado como open relay, testando o envio de um email através dele sem autenticação a partir de um endereço externo. Se o envio for bem-sucedido sem qualquer autenticação, o servidor está mal configurado.
  2. Configure o servidor para exigir sempre autenticação antes de aceitar o envio de emails.
  3. Ative STARTTLS ou TLS no servidor, garantindo que a comunicação entre clientes de email e o servidor é sempre encriptada.
  4. Reveja as portas configuradas: utilize a porta 587 com STARTTLS para envio autenticado por clientes de email, ou 465 com TLS implícito, e desative o acesso não autenticado pela porta 25.
  5. Implemente limites de taxa de envio (rate limiting) e alertas para picos anómalos de atividade.
  6. Configure SPF, DKIM e DMARC para o seu domínio, complementando a segurança do servidor SMTP com autenticação ao nível do DNS.
  7. Verifique periodicamente se o seu domínio ou IP consta em alguma lista negra (blacklist) de email, através de ferramentas gratuitas de verificação de blacklists.

Um servidor SMTP mal configurado pode ser explorado por spammers sem que se aperceba, até o seu domínio acabar numa blacklist e deixar de conseguir enviar emails a clientes. Configurar corretamente autenticação, encriptação e proteção contra open relay exige atenção técnica constante. Na WebDig Host, gerimos e monitorizamos o servidor SMTP do seu domínio por si, com as configurações de segurança já implementadas desde o primeiro dia.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre servidores SMTP

O que é um open relay e porque é perigoso?

Um open relay é um servidor SMTP que aceita e reencaminha emails de qualquer remetente, sem exigir autenticação. Isto permite que terceiros o utilizem gratuitamente para enviar spam ou phishing em massa, fazendo-se passar pelo seu domínio ou explorando a sua infraestrutura, o que pode levar o seu IP e domínio a serem colocados em listas negras.

Qual a diferença entre as portas 25, 587 e 465?

A porta 25 é tradicionalmente usada para a comunicação entre servidores de email, mas não deve ser usada para envio autenticado por clientes de email sem cifra. A porta 587 é a recomendada para envio autenticado, normalmente com STARTTLS. A porta 465 utiliza TLS implícito desde o início da ligação.

Como sei se o meu domínio está numa lista negra (blacklist)?

Existem ferramentas online gratuitas que permitem verificar se o seu IP ou domínio consta nas principais listas negras de email. Se estiver, deverá identificar e corrigir a causa (normalmente um servidor comprometido ou mal configurado) antes de solicitar a remoção junto de cada lista.

SPF, DKIM e DMARC substituem a necessidade de configurar bem o servidor SMTP?

Não. São complementares: o SPF, DKIM e DMARC autenticam os emails ao nível do DNS, mas a segurança do próprio servidor SMTP (autenticação, encriptação, proteção contra open relay) continua a ser essencial e independente.

Verifique agora a configuração do servidor SMTP do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o servidor SMTP do seu domínio apresenta riscos de segurança comuns, em poucos segundos.

Analisar o meu domínio gratuitamente com o Secure Check