StartTLSとは何ですか？
StartTLSは、既存の平文（プレーンテキスト）接続をトランスポート層セキュリティ（TLS）を用いて暗号化接続へアップグレードする、メールセキュリティのプロトコルコマンドです。SMTP、IMAP、POP3といったメール送受信プロトコルでサポートされており、暗号化専用のポートを別途用意することなく、メールサーバー間で安全な通信を行えます。
StartTLSは、転送中のメールの機密性と完全性を高めるために導入されました。メッセージがサーバー間を移動する際に、攻撃者が傍受したり改ざんしたりするのを防ぎます。HTTPSと同じ暗号技術を基盤としていますが、StartTLSは単独のサービスではなく、既存のメールプロトコルの中で発行されるコマンドです。
StartTLSの仕組み
SMTPを使ってメールが送信される際、送信サーバーと受信サーバーは最初は平文で通信します。このハンドシェイクの過程で、送信サーバーは受信サーバーがStartTLSに対応しているかを確認します。両方のシステムが合意すると、メッセージデータをやり取りする前に、そのセッションがTLSで暗号化された接続へとアップグレードされます。
コマンドの流れの例：
220 mail.example.com ESMTP ready
EHLO sender.example.net
250-mail.example.com Hello
250-STARTTLS
STARTTLS
220 Ready to start TLS
StartTLSの利点
- 転送中のメッセージを暗号化し、データの傍受を防ぎます
- TLS非対応のサーバーとの後方互換性を提供します
- 最新の認証メカニズムに対応します
- MTA-STSと連携して安全なメール配信を適用します
ただし、StartTLSは日和見的（オポチュニスティック）に動作するため、いずれか一方がTLSに対応していない場合、暗号化されないまま接続が行われることもあります。暗号化を強制するには、組織はMTA-STSやDANEのポリシーを導入できます。
StartTLSとDMARCeye
DMARCeyeは、メール認証と転送セキュリティを監視し、ドメイン全体でStartTLSがどこで使われ、どこで省かれているかを特定します。AI技術とスマートなプログラミングの両方を活用してメールフローと暗号化データを相関分析することで、メッセージがサーバー間で安全に送信されているかどうかを組織が検証できるよう支援します。
認証層と送信層の両方への可視性を通じて、DMARCeyeはメッセージがSPF、DKIM、DMARCのチェックに合格するだけでなく、TLSベースの暗号化を用いて安全に送られていることを確認します。
DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。
DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。