Postfix smtpと送信の混乱

メールクライアントがアウトバウンドメールにポート465（smtps）を使用するようにpostfixを設定しました。smtp（ポート465）と送信（ポート587）の違いを本当に理解していない

クライアントが安全にメールを送信できるようにpostfixを設定するときの「ベストプラクティス」は何ですか？smtpsを使用するだけですか？または、送信とsmtpの両方を使用しますか？

ポート465は、SSLで保護されたSMTP接続に使用されました。ただし、SMTP用のそのポートの使用は、STARTTLSの可用性により非推奨になりました：「smtps TCPポートの取り消し」最近では、SMTPSにポート465を使用するべきではありません。代わりに、ポート25を使用して他のサーバーからドメインのメールを受信するか、ポート587を使用して、サーバーから他のドメイン、したがって他のサーバーにメールを送信する必要があるクライアントから電子メールを受信します。

ただし、追加の注意として、ポート587はメール送信専用です。メール送信は、メッセージを変更したり、認証を提供したりするように設計されています。

• メールを送信しようとするクライアントに認証を提供および要求する
• 迷惑メール（スパム）または感染メール（ウイルスなど）の送信を防ぐためのセキュリティメカニズムの提供
• 組織のニーズに合わせてメールを変更する（from部分の書き換えなど）

ポート587への送信はSTARTTLSをサポートすることになっているため、暗号化できます。RFC＃6409も参照してください。

TL; DR

新しい推奨事項は、サブミッション / smtpとSTARTTLSによるサブミッションの両方を当面の間サポートし、使用されなくなった後は廃止することです。（POP3対POP3SおよびIMAP対IMAPSにも同じ推奨事項が適用されます。）

詳細

ベストプラクティスは、RFC 8314セクション3.3で変更されました。

「送信」サービス（デフォルトのポート465）に対してTCP接続が確立されると、TLSハンドシェイクがすぐに開始されます。[…]

ポート587のSTARTTLSメカニズムは、ポート465の状況により比較的広く展開されています（セクション7.3で説明）。これは、暗黙的なTLSがSTARTTLSよりもサーバーに広く展開されているIMAPおよびPOPサービスとは異なります。 一貫性のため、および付録Aで説明されている追加の理由のために、MUAソフトウェアで使用されるコアプロトコルを時間をかけて暗黙のTLSに移行することが望ましい です。 ただし、送信のための暗号化の使用を最大化するには、数年の移行期間にわたってTLSを介したメッセージ送信の両方のメカニズムをサポートすることが望ましいです。その結果、クライアントとサーバーは、この移行期間中にポート587でSTARTTLSとポート465で暗黙的なTLSの両方を実装する必要があります。実装が正しい場合、およびクライアントとサーバーの両方がメッセージ送信の前にTLSの正常なネゴシエーションを要求するように構成されている場合、ポート587のSTARTTLSとポート465の暗黙TLSのセキュリティプロパティに大きな違いはないことに注意してください。

引用された付録Aでは、SMTP、POP3、およびIMAPのすべてに暗黙のTLSを優先する決定について詳しく説明しています。

1. とにかくどこでも暗号化された接続のみを持ちたいので、実際には互換性が使用されていない場合、これらすべてのプロトコルの下位互換バージョンを維持しても意味がありません
2. いくつかの実装で同一の問題があるため、STARTTLSネゴシエーションフェーズの悪用がありました。