邮件服务器常用的端口包括25（SMTP）、465（SMTPS）、587（提交）、110（POP3）、995（POP3S）、143（IMAP）和993（IMAPS），其中587+993组合是当前收发信的主流安全配置。
很多人第一次接触邮件服务器,面对一串数字会发懵，端口就像服务器的门牌号，决定了邮件数据从哪里进、从哪里出，选错端口，轻则发信被拒，重则账号密码裸奔，本文不堆砌术语，直接说清楚每个端口是干什么的、怎么选、怎么配。
邮件服务器端口有哪些：先分清三个角色
邮件传输涉及三个动作,端口按动作分组，理解了这个逻辑，配置就不会乱。
发信（SMTP协议）用25、465、587三个端口。 25是SMTP的老家，用于服务器之间转发邮件，普通客户端提交邮件时如果走25端口，大概率被云厂商拦截，因为垃圾邮件泛滥，运营商普遍封禁25出站端口，587是邮件提交端口，专门给客户端用，强制要求认证，这是目前发信最稳的选择，465是SMTPS的隐式SSL端口，从提交协议加密演变而来，很多老客户端的默认配置还留着它。
收信（POP3协议）用110和995。 110是明文POP3端口，995是它的SSL加密版，POP3协议把邮件从服务器下载到本地，下载后服务器上的副本删除（可配置保留），适合单设备收信场景。
收信（IMAP协议）用143和993。 143是明文IMAP端口，993是SSL加密版，IMAP的核心优势是邮件保留在服务器端，多设备实时同步，已读/未读状态一致，这是目前主流方案，尤其配合手机端使用体验极佳。
一个容易被忽略的点： 端口号不是随便填的，必须与加密方式匹配，SSL/TLS加密连接对应465、995、993，STARTTLS加密对应587、110、143，所谓STARTTLS，是连接建立后用命令升级为加密通道，如果服务器不支持或配置错误，邮件内容就可能被截获。
端口配置的核心逻辑：发信选587，收信选993
邮件客户端配置（包括Outlook、Foxmail、Thunderbird）时，域名、端口、加密方式三者必须严格对应，否则验证失败，具体操作路径以Outlook为例：
- 打开账户设置,选择手动配置服务器类型；
- 服务器类型选POP3或IMAP,收件服务器填邮件域名或IP；
- IMAP端口填993,加密方式选SSL/TLS；
- 发件服务器SMTP端口填587,加密方式选STARTTLS（部分服务商也支持465，选SSL/TLS）；
- 出站服务器要求验证勾选,与收件服务器相同账号密码。
为什么不用110和143？这两个明文端口在现代邮件系统里已经边缘化，行业共识认为，明文传输邮件就像把信件贴在明信片上寄出，任何中间节点都能读取内容，正规邮件服务商基本都关闭了明文端口或强制跳转加密连接。
特殊场景注意： 如果你在局域网内搭建邮件服务器供公司内部收发，25端口通常没问题，因为不涉及外网封锁，但涉及外贸企业、海外收发信场景，25端口被海外反垃圾联盟加入黑名单是常态，这种情况下必须使用587端口提交，并确保服务器有正确的PTR反向解析记录，很多自建服务器的用户出问题，不是端口没开，而是邮件服务器的域名解析（SPF、DKIM、DMARC记录）没配好，导致对方服务器拒收。
用表格看清七个端口的区别
| 端口号 | 协议 | 用途 | 加密方式 | 当前状态 |
|---|---|---|---|---|
| 25 | SMTP | 服务器间转发、邮件中继 | 无/可选STARTTLS | 默认关闭出站 |
| 465 | SMTPS | 客户端提交（隐式SSL） | SSL/TLS | 兼容使用 |
| 587 | SMTP提交 | 客户端认证发信 | STARTTLS | 推荐优先 |
| 110 | POP3 | 收信（本地存储） | 明文 | 已淘汰 |
| 995 | POP3S | 收信（本地存储） | SSL/TLS | 兼容使用 |
| 143 | IMAP | 收信（服务端存储） | 明文 | 已淘汰 |
| 993 | IMAPS | 收信（服务端存储） | SSL/TLS | 推荐优先 |
补充说明： 表中提到的“加密方式”，直接影响客户端配置，比如Foxmail里选择SSL加密，端口自动跳转到993/465/995系列；选择STARTTLS，端口变回143/587/110系列，两者混用是新手最常见的报错原因。
选端口前先搞清楚你的服务器类型
自建邮件服务器和托管邮箱服务在端口选择上区别很大,下面分别说。
自建邮件服务器（Postfix、Dovecot、WinMail等）
你需要同时开放入站和出站端口,标准做法是Linux服务器上执行命令放行端口，以CentOS/AlmaLinux为例：
firewall-cmd --permanent --add-port=25/tcp firewall-cmd --permanent --add-port=587/tcp firewall-cmd --permanent --add-port=993/tcp firewall-cmd --reload
如果开启的是443邮件代收、WebMail服务，还需要放行443/80端口，网上搜索Linux postfix端口配置时能看到大量案例，核心思路是：SMTP相关端口（25、587、465）指向Postfix服务进程，IMAP/POP3端口（993、143、110）指向Dovecot服务进程。 用netstat或ss命令检查端口监听状态：
ss -tlnp | grep -E ':25|:587|:993'
如果端口没监听,优先检查服务进程是否启动、主配置文件（/etc/postfix/master.cf）里的端口定义是否被注释。
托管邮箱服务（简米云邮箱、腾讯企业邮箱、Zoho等）
这类服务商自身网络架构成熟,端口无需自己开放，只需在官方控制台或帮助文档查对应服务器地址和端口参数，国内服务商为避免被屏蔽，经常用非标端口（如80/443端口走Web API）进行邮件收发，对于外贸企业邮件服务器端口设置，建议选择全球多节点服务商，确保海外线路连通性。
配置过程中容易踩的坑及排查方法
坑一：25端口被运营商封禁。 检查方式：本机执行telnet smtp.qq.com 25，如果提示Connection refused或超时，基本就是被封了，解决方案：改用587端口提交，或将邮件服务CDN化、使用中继服务。
坑二：服务器防火墙已开放端口，但外部仍然无法访问。 重点查看云服务商的安全组规则简米云、酷番云、AWS都需要在控制台单独配置入站规则，系统防火墙是第二道关口。
坑三：SSL证书与端口绑定错误。 465、993端口强制要求有效证书，自签证书在多数客户端会被拦截，将PEM格式证书路径正确配置到Postfix的smtpd_tls_cert_file和smtpd_tls_key_file参数，并设置正确的证书链。
坑四：端口开了但超时收不到信。 先测服务器DNS解析，再检查MX记录是否正确指向邮件服务器域名，据工信部相关规范，域名解析配置错误导致的收发信失败，占比相当大。
排查动作的优先级顺序是：本地端口 → 云安全组 → DNS解析 → 客户端协议匹配 → 反垃圾退信。
选端口不是单点问题，它和邮件安全性强关联
端口决定通路是否建立,但邮件安全还依赖DNS层的SPF、DKIM、DMARC记录，这三个记录分别解决：谁能代表你的域名发信、发件方是否有签名、验证失败后怎么处置，很多用户把587端口配好、密码设置复杂，仍然进垃圾箱，原因在于没有配置DKIM签名，对方服务器认为这封信身份可疑，登录DNS管理平台，在TXT记录里加一条DKIM公钥，按服务商给定的selector和key填写，这一步完成后，退信率会明显下降。
整体来看，邮件服务器端口选择的核心结论：发信优先587，收信优先993；25端口留给服务器间传输，明文端口不碰；选型上先确认服务商支持哪种加密方式再配对对应的端口。
邮件服务器常见端口问题解答
Q：为什么我用QQ邮箱设置Foxmail时，收件服务器用了110端口？
A：QQ邮箱的POP3/SMTP服务支持110（非SSL）和995（SSL）两种配置，老版本Foxmail默认勾选非SSL，所以自动填110端口，建议手动改为995+SSL，否则密码和邮件内容以明文在网络传输，存在被窃听风险。
Q：公司邮件服务器被别人滥发垃圾邮件，怎么从端口层面阻断？
A：把25端口修改为587端口强制认证发信，关闭465端口的中继权限；在Postfix配置中限制smtpd_recipient_restrictions，仅允许mynetworks内部IP和已验证用户中转；同时开启Fail2Ban，监控多次认证失败的IP并自动封禁，修改配置后，原垃圾邮件流量会因认证失败被拒收，出站队列明显下降。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/790621.html
