O que é um servidor SMTP e qual você deve usar?

Em resumo

1. O que um servidor SMTP faz. SMTP significa Simple Mail Transfer Protocol.
2. As configurações que serão solicitadas. Quase toda aplicação que envia e-mail pede as mesmas cinco informações: um nome de host, uma porta, um modo de segurança, um usuário e uma senha.
3. Portas: 587, 465, 25 e 2525. A porta 587 é a porta padrão de submissão.
4. Testando uma conexão pela linha de comando. Antes de culpar a aplicação, verifique se o servidor está acessível e se aceita TLS.
5. Usando o provedor da sua caixa de correio como servidor SMTP. O Gmail e o Microsoft 365 permitem enviar pelos seus servidores SMTP e, para algumas poucas mensagens de uma ferramenta pessoal, isso funciona bem.
6. Quando você precisa de um serviço de envio. Um serviço de envio, também chamado de relay SMTP ou provedor de e-mail transacional, oferece à sua aplicação um endpoint SMTP e uma API, e opera a infraestrutura que torna a entrega confiável: gestão de reputação, feedback loops, tratamento de bounces, listas de supressão e logs.

O que um servidor SMTP faz

SMTP significa Simple Mail Transfer Protocol. Um servidor SMTP recebe uma mensagem de um remetente, descobre onde fica hospedado o e-mail do destinatário consultando o registro MX do domínio dele e entrega a mensagem a esse destino. Quando você clica em enviar em um aplicativo de e-mail, ou quando uma aplicação web envia uma redefinição de senha, é um servidor SMTP que faz o trabalho.

Há duas tarefas que as pessoas costumam confundir. O envio de e-mails é feito por SMTP. A leitura, em um aplicativo ou webmail, usa outros protocolos, como o IMAP. Quando uma tela de configurações pede um "servidor de saída", ela quer o servidor SMTP.

As configurações que serão solicitadas

Quase toda aplicação que envia e-mail pede as mesmas cinco informações: um nome de host, uma porta, um modo de segurança, um usuário e uma senha. O nome de host pertence ao seu provedor. O usuário e a senha são credenciais criadas para a sua conta e, em um serviço de envio, geralmente são separadas do login do painel.

Mantenha as credenciais fora do código-fonte. Guarde-as em variáveis de ambiente ou em um gerenciador de segredos e crie um conjunto para cada aplicação, de modo que você possa revogar uma delas sem afetar todas as outras.

Portas: 587, 465, 25 e 2525

A porta 587 é a porta padrão de submissão. A conexão começa em texto simples e passa para uma conexão criptografada com STARTTLS. A porta 465 é criptografada desde o primeiro byte, o que se chama TLS implícito, e voltou a ter amplo suporte. A porta 25 é destinada à entrega entre servidores e costuma ser bloqueada por provedores de nuvem e conexões residenciais para limitar o spam. A porta 2525 não é um padrão oficial, mas alguns provedores a oferecem como alternativa quando a 587 está bloqueada.

Se a conexão expirar por tempo limite, a causa mais comum é um firewall ou um provedor de hospedagem que bloqueia a porta, e não uma senha incorreta. Teste a partir da mesma máquina que fará o envio, e não do seu notebook.

Testando uma conexão pela linha de comando

Antes de culpar a aplicação, verifique se o servidor está acessível e se aceita TLS. Este comando se conecta a uma porta de submissão e exibe o certificado e a saudação do servidor. Substitua o host pelo do seu provedor.

openssl s_client -starttls smtp -connect smtp.example.com:587

Um resultado bem-sucedido mostra uma cadeia de certificados e uma linha começando com 220. Se houver um timeout, a porta está bloqueada. Se aparecer um erro de certificado, confira o nome do host que você digitou.

Usando o provedor da sua caixa de correio como servidor SMTP

O Gmail e o Microsoft 365 permitem enviar pelos seus servidores SMTP e, para algumas poucas mensagens de uma ferramenta pessoal, isso funciona bem. Eles foram feitos para pessoas, não para aplicações. O Google documenta limites diários de envio para contas pessoais e do Workspace, e a Microsoft aplica limites próprios e vem eliminando gradualmente o login básico com usuário e senha para SMTP. Consulte a documentação atual de cada provedor antes de depender de qualquer um deles.

O problema maior é o que você perde. Um provedor de caixa de correio oferece poucos relatórios de entrega, nenhum log por mensagem que você possa pesquisar e nenhuma forma de separar e-mails de marketing dos transacionais. Se uma mensagem não chega, você não tem nenhum rastro para seguir.

Quando você precisa de um serviço de envio

Um serviço de envio, também chamado de relay SMTP ou provedor de e-mail transacional, oferece à sua aplicação um endpoint SMTP e uma API, e opera a infraestrutura que torna a entrega confiável: gestão de reputação, feedback loops, tratamento de bounces, listas de supressão e logs. Você paga por volume e recursos em vez de manter servidores.

Escolha um quando o e-mail for importante para o seu negócio, por exemplo para códigos de acesso, recibos e atualizações de pedidos, ou quando você enviar mais do que algumas centenas de mensagens por dia. A próxima seção lista o que comparar.

O que comparar antes de escolher

Observe como o preço evolui com o seu volume mensal real, e não com o plano de vitrine. Verifique quais portas são compatíveis, se você tem uma API além do SMTP, por quanto tempo os logs são mantidos, se é possível usar um IP dedicado e como funciona o suporte quando algo dá errado em um horário inconveniente.

Se você emite notas em rupias, pergunte se o provedor cobra em INR e emite faturas com GST. Para remetentes no Reino Unido e na UE, pergunte sobre os termos de processamento de dados. Nossos planos, portas e cobrança estão na página de preços, e nosso guia para remetentes na Índia cobre o lado prático.

Erros comuns de SMTP e o que significam

As respostas do SMTP são códigos de três dígitos. Códigos que começam com 2 indicam sucesso, os com 4 indicam um problema temporário e o remetente deve tentar de novo, e os com 5 indicam uma falha permanente. Uma resposta 535 significa que a autenticação falhou; confira o usuário e a senha e veja se a conta exige uma senha específica de aplicativo. Uma resposta 550 geralmente significa que o servidor do destinatário rejeitou a mensagem ou que o endereço não existe.

Uma resposta 421 ou 450 significa que o servidor receptor pediu para você tentar mais tarde, muitas vezes por limitação de taxa. Um timeout aponta para uma porta bloqueada. Um erro de handshake TLS costuma indicar o modo de segurança errado para a porta, por exemplo STARTTLS na 465. Nossa consulta gratuita de códigos de bounce explica os códigos estendidos mais longos que vêm em seguida.

Noções básicas de segurança

Use sempre uma conexão criptografada. Nunca envie credenciais por uma conexão não criptografada, em qualquer porta. Use uma credencial exclusiva para cada aplicação, armazene-a como segredo e faça a rotação se um desenvolvedor sair ou um servidor for desativado.

Restrinja quem pode usar a sua conta sempre que possível, por exemplo limitando as permissões das chaves de API. Acompanhe nos logs de envio qualquer volume inesperado, que costuma ser o primeiro sinal de uma credencial vazada.

Seja qual for o servidor, autentique o seu domínio

Um servidor SMTP pode entregar a sua mensagem, mas são os provedores de caixa de correio que decidem se confiam nela. Publique SPF e DKIM para o seu domínio e adicione um registro DMARC, para que Gmail, Outlook e Yahoo vejam que o e-mail realmente vem de você. Sem eles, até as mensagens de um bom provedor podem cair no spam ou ser rejeitadas.

Nosso guia de configuração explica cada registro, e o verificador gratuito mostra o que está faltando no seu domínio agora mesmo.

Leituras complementares e fontes

• RFC 5321: Simple Mail Transfer Protocol
• RFC 6409: Message Submission for Mail
• RFC 8314: Cleartext Considered Obsolete: TLS for email submission

Faça no MigoSMTP: artigos da central de ajuda

• Configurações de SMTP: portas, TLS e autenticação
• Códigos de bounce SMTP explicados
• Verifique seu domínio de envio: registros DNS e propagação

Guias e ferramentas relacionados

• Configuração de DKIM, SPF e DMARC: Autentique seu domínio de ponta a ponta.
• Verifique SPF, DKIM e DMARC: Teste os registros do seu domínio.
• Envio de e-mails a partir da Índia: Cobrança em INR, faturas com GST e UPI.
• Consulta de códigos de bounce: Decodifique códigos de status SMTP e estendidos.