SMTPサーバーとは？どれを選ぶべきか

まず要点から

1. SMTPサーバーの役割。 SMTPはSimple Mail Transfer Protocolの略です。
2. 入力を求められる設定項目。 メールを送信するほぼすべてのアプリケーションが、ホスト名、ポート、セキュリティモード、ユーザー名、パスワードの5つを求めます。
3. ポート：587、465、25、2525。 ポート587が標準のサブミッションポートです。
4. コマンドラインからの接続テスト。 アプリケーションを疑う前に、サーバーに到達できてTLSで応答するかを確認しましょう。
5. メールボックスプロバイダーをSMTPサーバーとして使う。 GmailやMicrosoft 365は、どちらも自社のSMTPサーバー経由での送信に対応しており、個人用ツールから少数のメッセージを送る程度であれば問題ありません。
6. 送信サービスが必要になるとき。 送信サービスは、SMTPリレーやトランザクションメールプロバイダーとも呼ばれ、アプリケーションにSMTPエンドポイントとAPIを提供します。そして、レピュテーション管理、フィードバックループ、バウンス処理、サプレッションリスト、ログなど、確実な配送を支えるインフラを運用します。

SMTPサーバーの役割

SMTPはSimple Mail Transfer Protocolの略です。SMTPサーバーは送信者からメッセージを受け取り、受信者のドメインのMXレコードを調べて相手のメールの受け取り先を特定し、そこへメッセージを引き渡します。メールアプリで送信ボタンを押したときや、Webアプリケーションがパスワードリセットのメールを送るときに、裏で働いているのがSMTPサーバーです。

混同されやすい2つの役割があります。メールの送信にはSMTPが使われます。一方、アプリやWebメールでメールを読む場合は、IMAPなど別のプロトコルが使われます。設定画面で「送信サーバー」を尋ねられたら、それはSMTPサーバーのことです。

入力を求められる設定項目

メールを送信するほぼすべてのアプリケーションが、ホスト名、ポート、セキュリティモード、ユーザー名、パスワードの5つを求めます。ホスト名はプロバイダーごとに決まっています。ユーザー名とパスワードはアカウント用に作成された認証情報で、送信サービスの場合は、通常ダッシュボードへのログイン情報とは別のものです。

認証情報はソースコードに含めないでください。環境変数やシークレットマネージャーに保管し、アプリケーションごとに1組ずつ作成すると、他に影響を与えずに特定の1組だけを無効化できます。

ポート：587、465、25、2525

ポート587は標準のサブミッションポートです。接続は平文で始まり、STARTTLSで暗号化接続にアップグレードされます。ポート465は最初のバイトから暗号化されており、これを暗黙のTLSと呼びます。現在は再び幅広くサポートされています。ポート25はサーバー間の配送用で、スパム対策のため、クラウドホスティングや家庭用回線ではブロックされていることが一般的です。ポート2525は公式な標準ではありませんが、587がブロックされている場合の代替として提供しているプロバイダーもあります。

接続がタイムアウトする場合、原因はパスワードの誤りではなく、ファイアウォールやホスティングプロバイダーによるポートのブロックであることがほとんどです。テストは、お使いのノートPCではなく、実際に送信を行うマシンから実施してください。

コマンドラインからの接続テスト

アプリケーションを疑う前に、サーバーに到達できてTLSで応答するかを確認しましょう。次のコマンドは、サブミッションポートに接続し、証明書とサーバーのグリーティングを表示します。ホスト名はお使いのプロバイダーのものに置き換えてください。

openssl s_client -starttls smtp -connect smtp.example.com:587

成功すると、証明書チェーンと、220で始まる行が表示されます。タイムアウトする場合は、ポートがブロックされています。証明書エラーが出る場合は、入力したホスト名を確認してください。

メールボックスプロバイダーをSMTPサーバーとして使う

GmailやMicrosoft 365は、どちらも自社のSMTPサーバー経由での送信に対応しており、個人用ツールから少数のメッセージを送る程度であれば問題ありません。ただし、これらは人が使うために作られたもので、アプリケーション向けではありません。Googleは個人アカウントとWorkspaceアカウントに対して1日あたりの送信上限を公開しており、Microsoftも独自の制限を設けているほか、SMTPにおけるユーザー名とパスワードによる基本認証を段階的に廃止しています。どちらかに依存する前に、各プロバイダーの最新のドキュメントを確認してください。

より大きな問題は、失うものが多いことです。メールボックスプロバイダーでは、配送レポートがほとんど得られず、検索できるメッセージ単位のログもなく、マーケティングメールとトランザクションメールを分離する手段もありません。メッセージが届かなかったとき、たどれる記録がありません。

送信サービスが必要になるとき

送信サービスは、SMTPリレーやトランザクションメールプロバイダーとも呼ばれ、アプリケーションにSMTPエンドポイントとAPIを提供します。そして、レピュテーション管理、フィードバックループ、バウンス処理、サプレッションリスト、ログなど、確実な配送を支えるインフラを運用します。サーバーを自前で運用する代わりに、送信量と機能に対して料金を支払う形になります。

メールがビジネスにとって重要な場合、たとえばパスコード、領収書、注文状況の通知などを送る場合や、1日に数百通を超えて送信する場合は、送信サービスを選びましょう。比較すべき点は次のセクションにまとめています。

選ぶ前に比較すべきこと

見出しに載っているプランではなく、実際の月間送信量に応じて料金がどう変わるかを確認してください。あわせて、対応しているポート、SMTPに加えてAPIも利用できるか、ログの保持期間、専用IPを利用できるか、そして深夜など都合の悪い時間帯に問題が起きたときのサポート体制も確認しましょう。

ルピーで請求書を発行する場合は、プロバイダーがINRで請求し、GST請求書を発行するかを確認してください。英国やEUの送信者は、データ処理に関する条件についても確認しましょう。当社のプラン、ポート、請求については料金ページに掲載しており、インドの送信者向けガイドでは実務面を取り上げています。

よくあるSMTPエラーとその意味

SMTPの応答は3桁のコードで表されます。2で始まるコードは成功、4は一時的な問題であり送信側は再試行すべきこと、5は恒久的な失敗を意味します。535の応答は認証に失敗したことを示すので、ユーザー名とパスワードを確認し、アカウントにアプリ固有のパスワードが必要かどうかも確認してください。550の応答は、通常、受信者のサーバーがメッセージを拒否したか、アドレスが存在しないことを意味します。

421や450の応答は、受信側のサーバーが後で再試行するよう求めていることを意味し、多くの場合レート制限が原因です。タイムアウトはポートがブロックされていることを示しています。TLSハンドシェイクエラーは、多くの場合ポートに対してセキュリティモードが合っていないことが原因で、たとえば465でSTARTTLSを使っている場合などです。続いて表示される、より長い拡張ステータスコードについては、無料のバウンスコード検索で意味を確認できます。

セキュリティの基本

常に暗号化された接続を使用してください。どのポートでも、認証情報を暗号化されていない接続で送信してはいけません。アプリケーションごとに固有の認証情報を使い、シークレットとして保管し、開発者が退職したときやサーバーを廃止するときにはローテーションしましょう。

可能な範囲でアカウントを使える人を制限してください。たとえば、APIキーの権限を絞る方法があります。想定外の送信量がないか送信ログを監視しましょう。それが認証情報の漏えいを最初に知らせる兆候であることはよくあります。

どのサーバーを使う場合でも、ドメインを認証しましょう

SMTPサーバーはメッセージを配送できますが、そのメッセージを信頼するかどうかを判断するのはメールボックスプロバイダーです。ドメインにSPFとDKIMを公開し、DMARCレコードを追加することで、Gmail、Outlook、Yahooは、そのメールが確かにあなたから送られたものだと確認できます。これらがないと、優れたプロバイダーからのメールでも、迷惑メールに振り分けられたり、拒否されたりすることがあります。

当社のセットアップガイドでは各レコードを順に解説しています。また、無料のチェッカーを使えば、現在お使いのドメインで何が不足しているかをすぐに確認できます。

参考資料と出典

• RFC 5321: Simple Mail Transfer Protocol
• RFC 6409: Message Submission for Mail
• RFC 8314: Cleartext Considered Obsolete: TLS for email submission

MigoSMTPで設定する：ヘルプセンターの記事

• SMTP設定：ポート、TLS、認証
• SMTPバウンスコードの解説
• 送信ドメインの確認：DNSレコードと反映

関連ガイドとツール

• DKIM、SPF、DMARCの設定：ドメインをエンドツーエンドで認証します。
• SPF、DKIM、DMARCをチェック：ドメインのレコードをテストします。
• インドからのメール送信：INR請求、GST請求書、UPI。
• バウンスコード検索：SMTPコードと拡張ステータスコードを読み解きます。