Brevo SMTP: Leitfaden zu Einrichtung, Einstellungen und Fehlerbehebung

Brevo SMTP holt die ausgehende Post einer Anwendung weg vom lokalen Mail-Agent eines Webhosts und auf eine Infrastruktur, die jede Nachricht authentifiziert, protokolliert und auswertet. Die Einrichtung ist klein: ein Hostname, ein Port, zwei Zugangsdaten. Sie falsch zu machen ist ebenfalls klein, und die Fehlerbilder sind leise. Dieser Leitfaden behandelt die Einstellungen, das Modell hinter den Zugangsdaten, die DNS-Arbeit, die Zustellung überhaupt erst möglich macht, und die Fehler, auf die du triffst, wenn ein Teil falsch konfiguriert ist. Falls du noch einen Anbieter auswählst, vergleicht der breitere Leitfaden zu SMTP-E-Mail-Diensten zuerst den Markt.

Was Brevo SMTP ist

Brevo beschreibt Brevo SMTP als seinen SMTP-Relay-Dienst. Deine Anwendung, Website oder dein Mailserver übergibt eine Nachricht über eine authentifizierte Verbindung an das Relay, und Brevo übernimmt die Verantwortung für Routing, Wiederholungen, Reputation und Auswertung. Statistiken zu weitergeleiteter Post erscheinen neben den Kampagnenstatistiken, und ein Hard Bounce sperrt den betroffenen Kontakt automatisch.

Das Relay ist für transaktionale Nachrichten gebaut: Passwort-Resets, Belege, Bestellbestätigungen, Kontobenachrichtigungen. Falls die Grenze zwischen diesen und Marketing-Post noch unscharf ist: Was transaktionale E-Mails sind erklärt es.

SMTP oder die REST-API

Beide Wege erreichen dieselbe Plattform. Die praktische Aufteilung:

Eine harte Grenze: Brevos Entwicklerdokumentation stellt klar, dass das SMTP-Relay keinen Batch-Versand unterstützt, und verweist Batch-Operationen auf die API-Endpunkte.

Deine SMTP-Zugangsdaten anlegen

Die SMTP-Authentifizierung von Brevo nutzt zwei Werte, die man leicht mit Zugangsdaten verwechselt, die du bereits hast.

Finde dein SMTP-Login

Dein SMTP-Login ist nicht die E-Mail-Adresse deines Brevo-Kontos. Es ist eine eigene Kennung, die im Feld Login auf der Seite Settings, SMTP and API angezeigt wird, im Format [email protected].

Daraus folgen zwei Regeln, beide aus Brevos Dokumentation zur Fehlerbehebung. Trage smtp-relay.brevo.com nicht ins Feld für den Benutzernamen ein: Das ist der Relay-Host, nicht dein Login. Und trage dein SMTP-Login nicht in den From-Header ein, denn es authentifiziert dich, statt eine absendende Person zu benennen.

Einen SMTP-Key erzeugen

Das Passwort ist ein SMTP-Key, nicht dein Kontopasswort und nicht ein API-Schlüssel.

1. Öffne das Konto-Dropdown und wähle Settings, dann SMTP and API.
2. Klicke im Tab SMTP auf Generate a new SMTP key.
3. Benenne den Key nach der Integration, die ihn nutzen wird.
4. Wähle die Variante. Standard ist der empfohlene Key mit 64 Zeichen, Short ist ein Key mit 15 Zeichen für Clients, die mit langen Passwörtern nicht umgehen können.
5. Setze eine Gültigkeit zwischen 7 Tagen und 1 Jahr oder wähle keine Ablaufzeit.
6. Klicke auf Generate und kopiere den vollständigen Key sofort.

Der vollständige Key wird einmal angezeigt, danach zeigt die Seite nur noch die letzten Stellen. Wenn du ihn verlierst, erzeugst du einen Ersatz und aktualisierst deine Konfiguration.

Verbindungseinstellungen

Die Werte, die du in jedem Client oder jeder Bibliothek einträgst:

Den passenden Port wählen

Brevo empfiehlt 587 als Standard. Port 465 war für SMTP über SSL vorgesehen und wurde später als veraltet eingestuft, ist aber weiterhin breit unterstützt und richtig, wenn die Verbindung schon vor dem ersten Kommando verschlüsselt sein muss. Port 2525 ist kein bei IETF oder IANA registrierter Port, aber die meisten Provider und Cloud-Anbieter erlauben ihn, was ihn zur Notausstiegsluke macht, wenn 587 blockiert ist.

Das Feld für die Verschlüsselung bringt viele durcheinander. Brevo sagt dir, es leer zu lassen, außer du bist auf 465. Das heißt nicht, dass die Verbindung unverschlüsselt wäre: Auf 587 und 2525 kündigt der Server STARTTLS an, und jeder kompetente Client hebt die Verbindung vor der Authentifizierung an. Es heißt, dass du nicht „SSL” auswählen sollst, während du dich mit 587 verbindest, denn ein Missverhältnis zwischen Port und Verschlüsselung lässt die Authentifizierung selbst mit korrekten Zugangsdaten scheitern.

Teste die Verbindung, bevor du Code schreibst

Bestätige, dass das Relay antwortet und TLS aushandelt, bevor du Anwendungscode debuggst.

openssl s_client -starttls smtp -crlf -connect smtp-relay.brevo.com:587

Ein erfolgreicher Handshake endet mit der 250-Capability-Liste des Servers, die STARTTLS und eine AUTH-Zeile mit PLAIN und LOGIN enthalten sollte. Gar kein Banner ist ein Netzwerkproblem, kein Problem mit Zugangsdaten.

Deine Versanddomain authentifizieren

Das ist der Schritt, den viele überspringen, und er entscheidet, ob überhaupt etwas ankommt. Seit dem 1. Februar 2024 ist die Domain-Authentifizierung nach den Absenderanforderungen von Gmail und Yahoo verpflichtend, und Brevo weist darauf hin, dass Microsoft am 5. Mai 2025 ähnliche Standards angekündigt hat. Nicht authentifizierte Post wird gefiltert oder abgewiesen, egal welches Relay sie verschickt hat.

Die Einträge, die Brevo verlangt

Brevo kann diese Einträge automatisch setzen, wenn du dich von Brevo aus bei deinem Domain-Anbieter anmeldest, oder du kopierst die Werte von Hand in deine DNS-Zone. Welche DKIM-Form du bekommst, hängt vom Konto ab: Zwei CNAME-Einträge nutzen standardmäßig einen 2048-Bit-Schlüssel, die einzelne TXT-Form einen 1024-Bit-Schlüssel.

Warum es keinen SPF-Eintrag gibt

Brevos FAQ ist eindeutig: SPF- und MX-Einträge sind für die Authentifizierung einer Domain nicht erforderlich und werden nur bei der Einrichtung einer dedizierten IP bereitgestellt. Auf geteilter Infrastruktur kontrolliert Brevo den Return-Path, also tragen DKIM plus die Eigentümerprüfung die Authentifizierung. Wenn du von einem Anbieter migrierst, der ein SPF-Include verlangt hat, erfinde keines. Ein unnötiges Include riskiert nur ein Problem mit dem Lookup-Limit.

DMARC bleibt wichtig, und Brevo veröffentlicht einen funktionierenden Starteintrag:

v=DMARC1; p=none; rua=mailto:[email protected]

Starte mit p=none für aggregierte Berichte, ohne die Zustellung zu riskieren, und ziehe dann auf quarantine und reject an, sobald jede legitime Quelle sauber ausgerichtet ist. Unser Leitfaden zur E-Mail-Zustellbarkeit behandelt diese Steigerung.

Absender:in verifizieren

Jede From-Adresse muss eine verifizierte Absenderadresse sein oder auf einer authentifizierten Domain liegen. Eine neue Absenderadresse wird mit einem 6-stelligen Code verifiziert, der an diese Adresse geht, aber Absender:innen auf einer authentifizierten Domain überspringen diesen Schritt, und genau deshalb authentifizierst du zuerst. Freemail-Domains lassen sich nicht authentifizieren, eine From-Adresse bei gmail.com oder outlook.com wird also abgewiesen oder gefiltert.

Integrationen Schritt für Schritt

WordPress

WordPress übergibt ausgehende Post an wp_mail, das aufruft, was der Host bereitstellt. Sie über Brevo zu leiten erfordert ein Plugin.

1. Gehe in der Admin-Seitenleiste zu Plugins, dann Add New Plugin.
2. Suche nach Brevo, installiere „Newsletter, SMTP, Email marketing and Subscribe forms by Brevo” und aktiviere es.
3. Gehe zu Brevo, dann Home, und trage deinen Brevo API key v3 im Aktivierungsfeld ein. Dieser Schritt nutzt einen API-Schlüssel, weil das Plugin auch Kontakte synchronisiert. Klicke auf Login.
4. Wähle unter Transactional emails die Option Yes.
5. Wähle eine bestehende Absenderadresse oder lege eine an. Jede WordPress-E-Mail nutzt diesen Absendernamen und diese Adresse.
6. Trage eine Adresse ein und klicke auf Send email, um einen Test auszulösen.

Zwei Fehler sind häufig. Eine Meldung, dass transaktionale E-Mails nicht aktiviert sind, weil dein Brevo-SMTP-Konto nicht freigeschaltet wurde, bedeutet, dass der Brevo-Support die Plattform erst einschalten muss. Eine Meldung, dass SMTP nicht genutzt werden kann, weil wp_mail bereits von einem anderen Prozess deklariert wurde, bedeutet ein konkurrierendes SMTP-Plugin. Deaktiviere die anderen einzeln nacheinander.

Eine serverseitige Anwendung

Brevos eigenes Node.js-Beispiel nutzt nodemailer und die obigen Einstellungen:

const nodemailer = require("nodemailer");

const transporter = nodemailer.createTransport({
  host: "smtp-relay.brevo.com",
  port: 587,
  secure: false, // true für 465, false für andere Ports
  auth: {
    user: process.env.BREVO_SMTP_LOGIN, // [email protected]
    pass: process.env.BREVO_SMTP_KEY,
  },
});

async function sendOrderConfirmation() {
  const info = await transporter.sendMail({
    from: '"Acme Support" <[email protected]>',
    to: "[email protected]",
    subject: "Deine Bestellung ist bestätigt",
    text: "Bestellung 10482 ist bestätigt und wird innerhalb von zwei Werktagen versandt.",
  });
  console.log("Message sent:", info.messageId);
}

sendOrderConfirmation().catch(console.error);

Beachte secure: false auf Port 587. Dieses Flag steuert implizites TLS, nicht ob die Verbindung verschlüsselt ist. Nodemailer schickt trotzdem STARTTLS. Setze es nur für 465 auf true.

Das Python-Äquivalent mit der Standardbibliothek:

import smtplib, ssl
from email.message import EmailMessage

msg = EmailMessage()
msg["From"] = "Acme Support <[email protected]>"
msg["To"] = "[email protected]"
msg["Subject"] = "Deine Bestellung ist bestätigt"
msg.set_content("Bestellung 10482 ist bestätigt und wird innerhalb von zwei Werktagen versandt.")

with smtplib.SMTP("smtp-relay.brevo.com", 587, timeout=20) as server:
    server.starttls(context=ssl.create_default_context())
    server.login(BREVO_SMTP_LOGIN, BREVO_SMTP_KEY)
    server.send_message(msg)

Beide lesen die Zugangsdaten aus der Umgebung, und darum geht es im nächsten Abschnitt.

Sicherheit und Rotation der Keys

Brevo behandelt SMTP-Keys wie Passwörter. Die betrieblichen Regeln lohnen sich wörtlich zu befolgen.

• Ein Key pro Integration. Benenne jeden Key nach dem System, das ihn nutzt, damit ein Leck oder eine Abschaltung genau eine Sache widerruft.
• Niemals einen Key committen. Umgebungsvariablen, ein Secrets Manager oder der Konfigurationsspeicher deiner Plattform. Nicht die Versionskontrolle, keine getrackte .env-Datei, kein Screenshot.
• Ohne Ausfall rotieren. Ersatz erzeugen, ausrollen, Versand bestätigen, dann den alten Key löschen. Löschen ist unumkehrbar, und einen Key zu löschen, der noch genutzt wird, stoppt den transaktionalen Versand sofort.
• Deaktivieren statt löschen, um eine Integration zu pausieren. Keys lassen sich später reaktivieren.
• Rechne mit Ablauf. Keys können eine Gültigkeit von 7 Tagen bis 1 Jahr tragen, und Brevo lässt inaktive Keys nach 90 Tagen verfallen.

Für eine härtere Grenze kann Brevo Anfragen von unbekannten IP-Adressen blockieren. Die Freigabeliste wird zwischen API- und SMTP-Keys geteilt, alles, was du freigibst, gilt also für beide. Sei vorsichtig bei containerisierten oder Cloud-Workloads: Die ausgehende Adresse kann ein NAT-Gateway sein und nicht die Instanz-IP, die du erwartest, und ein Fehler dabei erzeugt eine Abweisung mit 525 5.7.1 Unauthorized IP address.

Teams, die Brevo neben einem Shop, einem CRM und einem Support-Desk betreiben, verwalten am Ende mehrere Keys, Absenderadressen und Domains gleichzeitig. Tajo hält diese Konfiguration an einem Ort statt in vier Dashboards.

Versandlimits und Drosselung

Der SMTP-Versand zieht die E-Mail-Credits deines Tarifs. Im Free Plan sind das 300 Sendungen pro Tag, das Limit setzt sich täglich zurück und ungenutzte Sendungen werden nicht übertragen. Ist es erreicht, hält Brevo bis zu 1.000 weitere E-Mails in einer Warteschlange für Wiederholungen und stellt darüber hinaus nichts mehr zu. Bezahlte Tarife heben das Tageslimit auf, und der Brevo-Preisleitfaden schlüsselt die Stufen auf.

Wenn die Credits vollständig aufgebraucht sind, werden über SMTP eingelieferte Nachrichten pausiert und eingereiht statt verworfen. Der Rückstau liegt unter Transactional, dann Real time, dann Usage and plan, im Bereich Email queue.

Brevo veröffentlicht harte Rate Limits für die REST-API, nicht für das Relay. In der allgemeinen Stufe erlaubt POST /v3/smtp/email 1.000 Anfragen pro Sekunde, und ein überschrittenes Limit liefert 429 Too Many Requests. Der API-Weg liefert außerdem Rate-Limit-Header, an denen du dein Tempo ausrichten kannst, was das Relay nicht tut.

Bounces und Beschwerden überwachen

Weitergeleitete Post ist unter Transactional in den Seiten Statistics und Logs sichtbar. Die Ereignisse, die eine Reaktion brauchen:

• Hard Bounce. Die Adresse ist ungültig, und Brevo sperrt den Kontakt automatisch.
• Blocked. Die empfangende Person hat sich zuvor beschwert, abgemeldet, hart gebounct oder wurde manuell blockiert.
• Deferred und Soft Bounce. Der Anbieter hat die Verbindung angenommen, die Nachricht aber verzögert oder abgelehnt. Wiederkehrende Verzögerungen bei einem Anbieter deuten auf ein Reputationsproblem hin, nicht auf ein Codeproblem.

Logs abzufragen skaliert nicht. Brevo unterstützt transaktionale Webhooks, die Zustell-, Bounce-, Öffnungs- und Beschwerdeereignisse in Echtzeit an deinen Endpunkt pushen. So hältst du deine eigenen Sperrdaten aktuell.

Die entscheidende Zahl ist die Spam-Beschwerderate. Gmail, Yahoo und Microsoft verlangen von Absender:innen, unter 0,3 Prozent zu bleiben, und Brevo empfiehlt, sie mit den Gmail Postmaster Tools zu beobachten. Sich von einer Überschreitung zu erholen dauert weit länger, als sie zu vermeiden.

Fehlerbehebung

535 5.7.8 Authentication failed

Benutzername oder Passwort konnten nicht verifiziert werden. Nach Wahrscheinlichkeit:

• Die Konto-E-Mail-Adresse wurde statt des SMTP-Logins im Format [email protected] verwendet.
• smtp-relay.brevo.com wurde ins Feld für den Benutzernamen eingefügt. Brevo nennt das als eine der häufigsten Ursachen.
• Es wurde ein API-Schlüssel statt eines SMTP-Keys verwendet.
• Der Key trägt ein angehängtes Leerzeichen oder einen Zeilenumbruch aus dem Kopieren und Einfügen.
• Die Verschlüsselungseinstellung passt nicht zum Port.
• Der Key wurde nach einem Sicherheitsalarm ungültig gemacht, dann erzeuge einen neuen.

525 5.7.1 Unauthorized IP address

Die IP-Sperre ist aktiv und die verbindende Adresse ist nicht freigegeben. Füge sie hinzu und prüfe zuerst deine tatsächliche Ausgangsadresse, wenn die Anwendung hinter NAT oder auf einer Container-Plattform läuft.

Keine Antwort und kein Banner

Wenn die TCP-Verbindung zustande kommt, der Server aber nie seinen 220-Gruß schickt, kann die Authentifizierung nicht beginnen und der Fehler liegt auf deiner Seite des Netzwerks. Firmen-Firewalls erlauben manchmal die Verbindung und verwerfen den SMTP-Verkehr dann still. AWS, Azure und Google Cloud beschränken ausgehendes SMTP bei neuen Konten standardmäßig. Beantrage die Aufhebung der Beschränkung oder wechsle auf Port 2525.

450, Plattform nicht aktiviert

Der Fehler besagt, dass dein SMTP-Konto noch nicht aktiviert ist oder deine Sendeplattform derzeit deaktiviert ist. Bei einem neuen Konto braucht der transaktionale Versand einen separaten Freischaltungsschritt durch den Brevo-Support. Bei einem etablierten Konto bedeutet er meist eine Sperre, entweder weil ein ungeschütztes Formular von Bot-Anmeldungen getroffen wurde oder weil das Konto Anzeichen einer Kompromittierung zeigte.

Absender:in abgewiesen

Prüfe drei Dinge: Die Domain ist authentifiziert, die Absenderadresse ist verifiziert, und der From-Header ist nicht dein SMTP-Login.

Post wird angenommen, landet aber im Spam

Arbeite in dieser Reihenfolge. Bestätige, dass die Versanddomain authentifiziert ist und DKIM signiert. Bestätige, dass die From-Domain deine eigene ist und kein Freemail-Anbieter. Prüfe deine Beschwerderate in den Postmaster Tools gegen die Schwelle von 0,3 Prozent. Schau dir den Inhalt erst an, wenn diese Prüfungen sauber sind, denn er ist fast nie die erste Ursache.

Dedizierte IPs

Eine dedizierte IP hilft nur bei hohem, gleichmäßigem Volumen. Sie muss warmgelaufen werden, bevor du nennenswert darüber sendest, und sie braucht eine Versand-Subdomain, die in deinen Headern als mailed-by- und Return-Path-Domain erscheint. Das ist die eine Konfiguration, in der Brevo SPF- und MX-Einträge bereitstellt, neben A-, CNAME-, DKIM- und DMARC-Einträgen für diese Subdomain.

Zwei Details werden gern übersehen. Eine dedizierte IP, die nur für Marketing-E-Mails konfiguriert ist, reiht deine transaktionalen Nachrichten ein, statt sie zu senden, also stelle sie um oder kaufe eine zweite IP. Und transaktionales Routing vom Marketing zu trennen erfordert einen Pool aus mindestens zwei IPs mit unterschiedlichen Absenderadressen, damit schwache Interaktion bei Marketing-Post nicht Belege und Passwort-Resets mit herunterzieht.

Gleich beim ersten Mal richtig machen

Authentifiziere die Domain, lege einen benannten SMTP-Key an, verbinde dich mit smtp-relay.brevo.com auf 587 und schicke einen Test über den echten Codepfad statt über einen Dashboard-Button. Fast jedes spätere Problem lässt sich auf eines von drei Dingen zurückführen.

• Die falschen Zugangsdaten im Feld für Benutzername oder Passwort.
• Eine Einstellung für Port und Verschlüsselung, die nicht zusammenpasst.
• Eine Versanddomain, die nie authentifiziert wurde.

Mach das richtig, und das Relay verschwindet in den Hintergrund, und genau das soll transaktionale Infrastruktur tun.