SMTP-porte 25, 465 og 587 – og hvorfor port 25 er lukket

Kort svar: De tre SMTP-porte har hver sin rolle: 587 (STARTTLS) er standardporten for at sende mail fra dine programmer og enheder, 465 (SSL/TLS fra start) er et lige så godt alternativ – og 25 er porten til trafik mellem mailservere, som mange internetudbydere og de fleste cloud- og VPS-udbydere blokerer udgående for at bekæmpe spam. Får du timeout på port 25, er intet nødvendigvis i stykker: skift til 587 eller 465 med login, så virker det.

Fagligt gennemgået: 2. oktober 2026

Portnumre lyder som detaljer – lige indtil mailen ikke kan sendes fra sommerhusets netværk, printeren ikke kan maile scanninger, eller et gammelt system insisterer på port 25. De tre porte forklarer tilsammen en stor del af de „kan ikke sende“-gåder, hvor kodeordet ellers er rigtigt – og valget mellem dem er enklere, end det ser ud.

Guiden forklarer portenes roller, hvorfor port 25 er lukket, hvordan du selv tester portene fra dit netværk, og hvordan du får printere og ældre systemer flyttet over på de rigtige porte.

De tre porte – hver sin rolle

Port	Kryptering	Bruges til	Dit valg?
—	—	—	—
587	STARTTLS (opgraderes efter forbindelse)	Klienter og systemer, der sender via din mailserver – med login	Ja – standarden
465	SSL/TLS fra første sekund (implicit TLS)	Samme som 587 – med login	Ja – ligeværdigt alternativ
25	Ofte ukrypteret eller STARTTLS	Server-til-server-levering på internettet	Nej – kun mailservere imellem

Med andre ord: Dine enheder taler indlevering (587/465, altid med brugernavn og kodeord), og mailservere taler levering (25, uden login – det er her SPF, DKIM og omdømme overtager kontrollen). Blander man de to roller sammen, opstår både „550 Relaying denied“ og de mystiske timeouts.

Port 465 har en lidt rodet historie: Den blev oprindeligt brugt til krypteret SMTP, blev senere trukket tilbage som standard og er siden genindført til indlevering med implicit TLS i RFC 8314 fra 2018. Derfor nævner gamle vejledninger den som „forældet“, mens nyere anbefaler den. I dag er både 465 og 587 korrekte valg.

Porte til at hente mail

SMTP-portene bruges kun til at sende. Til at hente mail bruger dit program IMAP eller POP3, som har deres egne porte. Det er nyttigt at have dem samlet, når du sætter en klient op:

Protokol	Krypteret port	Ukrypteret/STARTTLS-port
—	—	—
IMAP	993	143
POP3	995	110
SMTP-indlevering	465	587 (med STARTTLS)

Brug altid den krypterede variant eller STARTTLS. Forskellen på IMAP og POP3 er forklaret i guiden om IMAP, POP3 og webmail.

Hvorfor port 25 er lukket

I spamkrigens tidlige år sendte inficerede computere enorme mængder mail direkte ud på port 25. Modtrækket blev, at mange internetudbydere blokerer udgående port 25 fra almindelige forbindelser, så posten i stedet skal gennem en rigtig mailserver med login og logning. De store cloud- og VPS-udbydere gør typisk det samme for nye servere.

Det er derfor, en gammel opsætning med port 25 kan virke på kontoret (hvor udbyderen måske tillader den) og fejle på hotellets wi-fi. Konklusionen er ikke at jagte åbne netværk – det er at flytte opsætningen til 587 eller 465.

Nogle udbydere tilbyder også port 2525 som en ikke-standardiseret reserve til indlevering, fx hos visse mailtjenester til transaktionsmails. Den bruges kun, hvis din mailudbyder udtrykkeligt opgiver den.

1. Test selv portene

Du kan teste, om portene svarer fra dit netværk, med værktøjer, der følger med de fleste systemer. Udskift mail.ditdomæne.dk med den SMTP-server, din mailudbyder opgiver.

På Mac og Linux:

nc -vz mail.ditdomæne.dk 25
nc -vz mail.ditdomæne.dk 587
openssl s_client -connect mail.ditdomæne.dk:465
openssl s_client -starttls smtp -connect mail.ditdomæne.dk:587

På Windows i PowerShell:

Test-NetConnection mail.ditdomæne.dk -Port 587
Test-NetConnection mail.ditdomæne.dk -Port 465

De to openssl-kommandoer viser desuden certifikatet, så du kan se, om navnet passer til det servernavn, du har skrevet i klienten. Et forkert navn giver certifikatadvarsler i mailprogrammet.

Timeout på 25 og svar på 465/587 fra dit netværk er altså normalbilledet – ikke en fejl. Svarer 465/587 heller ikke, er det enten et meget restriktivt netværk (nogle gæstenetværk) eller en firewall på din egen maskine. Test fra mobilnettet for at afgøre det.

2. Ret opsætningen i mailprogrammet

Når portene svarer, skal klienten bruge de rigtige værdier. Kontrollér i kontoindstillingerne for udgående server:

• Server: det SMTP-servernavn, mailudbyderen opgiver.
• Port og kryptering: 587 med STARTTLS eller 465 med SSL/TLS. Port 587 med „SSL/TLS“ eller 465 med „STARTTLS“ virker ikke – kombinationen skal passe.
• Godkendelse: slået til, med samme brugernavn (typisk hele mailadressen) og adgangskode som til at hente mail.

Den hyppigste fejl efter portvalget er netop en forkert kombination af port og krypteringstype. Guiden kan ikke sende mail, men godt modtage gennemgår de øvrige årsager.

3. Printere, systemer og gamle enheder

„Scan til mail“-printere, NAS-bokse, alarmsystemer og ældre fagsystemer er klassiske port 25-syndere: De blev sat op engang og har sendt fint, indtil netværket eller udbyderen strammede til. Løsningen er den samme som for mailklienter: Giv enheden SMTP-serverens navn, port 587 (eller 465, hvis enheden understøtter det), STARTTLS eller SSL – og en rigtig mailkonto som login.

Opret gerne en dedikeret konto (fx scanner@ditdomæne.dk), så enhedens adgang kan lukkes uden at røre menneskers kodeord. Kan en meget gammel enhed slet ikke kryptere eller understøtter den kun forældede TLS-versioner, er svaret at opdatere firmwaren eller udskifte den – ikke at åbne for ukrypteret post.

Sender dit WordPress-site mails, gælder det samme: Brug SMTP med login på 587 eller 465 i stedet for serverens indbyggede mailfunktion. Se guiden om mails fra WordPress i spam.

Login på 587 og 465 er også beskyttelse

At indlevering kræver brugernavn og adgangskode, er ikke kun en teknisk detalje. Det er det, der forhindrer fremmede i at sende post gennem din mailserver. Til gengæld betyder det, at en lækket adgangskode kan bruges til at sende spam i dit navn, hvilket kan skade domænets omdømme og få din mail afvist hos modtagerne.

• Brug en stærk, unik adgangskode til hver postkasse.
• Giv printere, systemer og scripts deres egne konti, så én lækage ikke rammer alle.
• Skift adgangskoden med det samme, hvis du ser mails i Sendt, som ingen har skrevet, eller modtager mange bounce-mails.

Sammen med SPF, DKIM og DMARC sikrer det, at kun dine egne systemer kan sende som dit domæne. Se SPF, DKIM og DMARC forklaret.

Sådan verificerer du

Opsætningen er robust, når:

• alle klienter og enheder sender via 587 eller 465 med login og kryptering;
• det virker fra både kontoret, hjemmenettet og mobilnettet;
• ingen opsætning længere nævner port 25.

Notér porten og kontoen for hver enhed (printeren glemmer man altid), så næste netværksskifte er udramatisk. Driller en enkelt enhed stadig, så fang dens præcise fejlbesked og tidspunktet – med dem kan supporten slå forsøget op i mailserverens log.

Læs også

• Hub: Mail: fejl og fejlfinding
• Kan ikke sende mail, men godt modtage
• „550 Relaying denied“
• Mailopsætning på iPhone og Android
• Email hosting hos Hostious – IMAP, POP3, SMTP og webmail med spam- og virusfilter

Ofte stillede spørgsmål om SMTP-porte

Er 465 eller 587 bedst?

De er sikkerhedsmæssigt ligeværdige i praksis – 465 krypterer fra første sekund, 587 opgraderer med STARTTLS. Vælg den, din klient og server håndterer pænest; skift kun, hvis den ene driller på et givent netværk.

Hvorfor virkede port 25 så i går?

Fordi blokeringen følger netværket, ikke din enhed: Kontorets udbyder tillod den måske, hotellets gør ikke. Det er præcis derfor, 587 eller 465 med login er svaret – de er beregnet til indlevering fra klienter og er langt sjældnere blokeret.

Skal jeg åbne port 25 på mit webhotel?

Nej – din mailserver lytter allerede på 25 for indgående server-til-server-post; det håndterer hostingen. Dit udstyr skal ikke selv bruge 25. Sender dit WordPress-site mails, bør det ske via SMTP med login – se WordPress-mail-guiden.

Hvorfor får jeg certifikatfejl, når jeg sender?

Oftest fordi servernavnet i klienten ikke matcher navnet i serverens certifikat, fx når du har skrevet dit eget domæne i stedet for udbyderens servernavn. Brug præcis det SMTP-servernavn, mailudbyderen opgiver, og tjek certifikatet med openssl-kommandoen i guiden.