SMTP-AUTHは、SMTPで認証情報をやり取りし、送信受付サーバーなどが利用者を認証する拡張です。メールサーバーの不正中継を抑えるために使います。本文の暗号化や、受信者が表示Fromを検証する仕組みとは別です。
何を認証する？
典型的には、メールクライアントから送信受付サーバーを利用するアカウントを認証します。認証後、サーバーはその利用者に許可された送信を受け付けます。認証と、送信可能な範囲を決める認可も区別しましょう。
利用する認証方式はSASL機構などにより異なり、全てが単純なID・パスワードの送信とは限りません。また、利用者が毎回手入力するとは限らず、メールソフトが認証を行うこともあります。
SMTP-AUTH・TLS・SPFの違い
| 仕組み | 目的 |
|---|---|
| SMTP-AUTH | 送信サービスを利用するアカウントの認証 |
| TLS | 接続区間の盗聴・改ざんなどへの対策 |
| SPF | 受信側で接続元IPとドメインの送信方針を評価 |
| DKIM | メールの署名対象を署名ドメインの公開鍵で検証 |
認証情報の保護も必要
SMTP-AUTHを使うだけで通信経路が暗号化されるわけではありません。TLSなどで接続を保護し、利用先が提供する認証方式を使います。認証情報の符号化と暗号化も同じではありません。
OP25B・サブミッションとの関係
TCP 587番などの送信受付でSMTP-AUTHを利用し、正規のサーバーへメールを提出する構成があります。OP25Bの影響、サーバー名、ポート、TLS方式、認証方式はそれぞれ別の確認項目です。
認証成功でも全て安全とは限らない
認証情報を盗まれれば、不正な利用者も認証を通る可能性があります。送信制限、監視、アカウント保護も必要です。SMTP-AUTHは受信者に対して本文の正しさや添付の安全性を保証する仕組みではありません。
確認問題：SMTP-AUTHが成功すると、本文も自動的に暗号化される？
いいえ。SMTP-AUTHは認証、TLSなどは通信保護です。メール本文そのものの暗号化とも区別します。
noteで認証と暗号化を復習
ポート番号、利用者の認証、通信経路の暗号化は役割が異なります。情報セキュリティのnote教材で認証や暗号方式の関連用語を整理し、どの対策が何を守るか確認しましょう。
関連する解説
参考資料
RFC 6409：メール送信受付 ／ RFC 8314：メールとTLS ／ RFC 4954：SMTP認証 ／ 日本データ通信協会：迷惑メール白書2022–2024
コメント