POP before SMTP
メールを受け取る際のPOP認証に成功した接続元について、その後の一定時間だけSMTPによる送信・中継を許可する仕組み。典型的には接続元のIPアドレスを一時的に許可対象として記録する。
イマシルちゃんの解説
荷物の受取窓口で本人確認をした人に、しばらく隣の発送窓口も使ってもらうとするよ。
発送側は、先ほど受取側で確認されたという記録を見て通すんだ。
でも、記録が古くなったり、別の人と見分けにくかったりすると困るよね。
窓口を使うたびに、その場で確認する方法とは違うんだ。
より深い解説
受信時の確認を送信許可へ使う
SMTPの基本機能に利用者認証がなかった環境で、不正中継を防ぎながら正規の利用者に送信を許可するために使われた方式である。メールソフトで先に受信操作を行い、成功した情報を送信側のサーバへ連携する。
| 手順 | 処理 |
|---|---|
| 受信側への接続 | 利用者がPOP認証を受ける |
| 認証成功 | 接続元のIPアドレスと許可期限を記録する |
| 送信側への接続 | 記録と有効期限を照合する |
| 許可期限の経過 | 再び受信側での確認が必要になる |
認証に成功しても永久に送れるわけではない。また、実際に新着メールがあることよりも、正規の利用者として受信側へログインできたことが重要である。
送信元を区別する限界
NATなどによって複数の利用者が同じ外部向けアドレスを共有すると、記録だけでは個々の利用者を十分に区別できない場合がある。移動や回線切替えで接続元が変われば、認証直後でも送信できなくなることがある。
受信操作から送信操作までが別の接続であるため、両者を結び付ける管理が必要になる。許可の時間を長くすれば利便性は上がるが、古い記録を根拠に許可する範囲も広がる。
ほかのメール対策との比較
| 仕組み | 主に確認・制御するもの |
|---|---|
| POP before SMTP | 受信側で成功した認証の記録 |
| SMTP-AUTH | 送信用の接続で利用者を認証する |
| SPF | 送信元サーバのアドレスとドメインの方針 |
| DKIM | メールに付けた署名 |
| OP25B | 外向きのポート25番への通信 |
送信を許可する仕組みと、受信者側で送信ドメインを検証する仕組みは、目的が異なる。POP before SMTPを使っても、From欄に書かれたドメインの正当性が自動的に保証されるわけではない。
通信の保護と運用
この方式自体は、メール本文や認証情報を暗号化する仕組みではない。通信の保護にはTLSなどを別途用いる。
現在のメールソフトの設定では、送信サーバ側が指定する認証方式を確認する。SMTP-AUTHでは、受信側の認証記録を流用せずに送信用の接続で確認できるため、両方式を混同して設定しないことが大切である。