技術解説 · 出典付きの回答

SMTP認証とは？定義と技術的な実装

SMTP認証は、メールクライアントやアプリケーションがメールを送信する前に、SMTPサーバーに対して自分のIDを証明するよう求めるセキュリティの仕組みです。承認されたユーザーだけがサーバー経由でメッセージをルーティングできるようにすることでオープンリレーを防ぎます。通常は、AUTH拡張を通じてユーザー名とパスワードを使います。

処理の流れ

プロセスは、クライアントがサーバーに接続してEHLOコマンドを発行することから始まります。サーバーは、AUTHを含むサポートされている拡張の一覧を返します。クライアントはPLAINやLOGINなどの認証方式を選び、認証情報を送信します。サーバーがユーザーデータベースと照合して認証情報を確認できれば、クライアントにMAIL FROMコマンドとRCPT TOコマンドを送る許可を与えます。

送信者にとっての重要性

認証がないと、サーバーはオープンリレーとして機能し、誰でもメールを送信できてしまいます。スパマーが開いたポートを悪用するため、IPはすぐにブラックリストに登録されます。SMTP認証を導入すれば、正当なアプリケーションだけがメールを送信できるようになります。これは、クリーンな送信者レピュテーションを維持し、受信側メールサーバーにメッセージが拒否されないようにするための基本的な要件です。

運用上の注意とよくある間違い

よくある失敗は、暗号化されていない接続で認証情報を送ることです。認証情報の盗難を防ぐため、認証は常にSTARTTLSまたは暗黙的TLSと組み合わせてください。また、最近のプロバイダーがサポートしていない古い認証方式を使っていることもよくある問題です。開発者は、SendHQの無料ツール（https://sendhq.cc/tools）を使ってDNSと認証の設定を確認できます。

具体的な実装例

smtplibを使った一般的なPythonの実装では、開発者はポート587に接続し、starttls()を呼び出して接続を保護してから、login(user, password)を実行します。この手順により、サーバーがメッセージを受け付けて最終的な宛先へ配信する前に、暗号化されたチャネル上でIDが検証されます。

認証方式

最も一般的な方式には、パスワードを平文に近い形式（Base64）で送るPLAINと、古いクライアントで使われるレガシーな方式であるLOGINがあります。最近のシステムでは、SMTP認証にOAuth2を使うことが多く、アプリケーションは固定のパスワードの代わりにトークンを使えるため、設定ファイルから認証情報が漏れるリスクを減らせます。

よく寄せられる質問

SMTP認証はSPFやDKIMと同じものですか？

いいえ。SMTP認証は、送信の過程でサーバーに対してクライアントを検証するものです。SPFとDKIMは、メールが送信された後に、受信側サーバーに対して送信者を検証するものです。

認証付きのSMTPには通常どのポートが使われますか？

ポート587が、認証とSTARTTLSを伴うメールのサブミッションの標準です。ポート465は暗黙的TLSに使われます。

SMTP認証に失敗するとどうなりますか？

サーバーは535 Authentication Failedのエラーコードを返してメッセージを拒否するため、メッセージはキューに入ることも配信されることもありません。