IT用語集 2023/10/13

SMTPとは？わかりやすく10分で解説

コラム

メールは「送る」だけならボタン1つですが、裏側では送信（SMTP）、受信（POP/IMAP）、経路上の中継、暗号化、なりすまし対策など、複数の仕組みが噛み合って成立しています。SMTPはその中でも、メールを送信者側から受信者側へ“運ぶ”役割を担う中核プロトコルです。本記事ではSMTPの基本、ポートの意味、送信の流れ、POP/IMAPとの違い、そして実務で重要になる暗号化・認証・なりすまし対策の考え方まで整理し、「自社環境で何を設定し、どこに注意すべきか」を判断できる状態を目指します。

SMTP（Simple Mail Transfer Protocol）の概要

インターネットの世界には、さまざまなプロトコルが存在しています。その中でも、私たちが日常的に利用する電子メールの送受信に関わる重要なプロトコルがSMTPです。

電子メールの送信プロトコルとは

電子メールを送信する際、裏側には複数の技術的プロセスがあり、それを支えているのがSMTPというプロトコルです。SMTPは、Simple Mail Transfer Protocolの略で、直訳すると「シンプルなメール転送プロトコル」となります。SMTPは、電子メールを一定の手順で確実に転送するための仕組みとして設計されています。

具体的には、送信者のメールクライアント（または送信システム）から、送信側のメールサーバ（SMTPサーバ）へメールを渡し、そこから受信者側のメールサーバへ中継・配信するのがSMTPの役割です。この過程でSMTPは、送信元・宛先・メッセージ内容などの情報をコマンド形式でやり取りしながら、メールを転送していきます。

SMTPによるメール転送のイメージ

SMTPの歴史と背景

SMTPは、インターネットの黎明期から存在しているプロトコルの一つです。ARPANET時代からメールは使われていましたが、インターネットが拡大するにつれ、相互接続されたネットワーク上でメールを転送する標準的な仕組みが必要になり、SMTPが整備されました。

当初のSMTPは、現在の視点で見るとセキュリティが前提になっていないシンプルな設計でした。その後、暗号化（TLS）や認証（SMTP AUTH）、運用上の役割分担（メール送信の「Submission」）などが加わり、現代のメール環境に適応してきました。現在でも、世界中のメールサーバがSMTPを利用しており、電子メールを支える基盤として使われ続けています。

SMTPの基本的な仕組み

SMTPは、メールを「送信者側から受信者側へ運ぶ」ためのプロトコルです。ここでは、送信の流れと、SMTPを構成する要素を整理します。

メールの送信手順

電子メールの送信は、見た目以上に段階的です。一般的な流れは次の通りです。

送信者がメールクライアントでメールを作成し、送信操作を行う
メールクライアントが送信側SMTPサーバへ接続し、メールを預ける（送信）
送信側SMTPサーバが宛先ドメインをもとに受信側サーバを特定し、中継・転送する
受信側サーバがメールボックスへ格納する
受信者がPOP/IMAP等でメールを取得・閲覧する

重要なのは、SMTPは「送信（転送）」を担当し、受信者が閲覧するための取り出し（取得）は別プロトコル（POP/IMAP）が担う点です。

SMTPのモデルとコンポーネント

SMTPはクライアント／サーバモデルで動作します。実務上は、以下の役割を分けて考えると理解しやすくなります。

メールクライアント（MUA）: 利用者がメールを作成・送信・閲覧するソフト
送信側SMTPサーバ（MSA/MTA）: 送信を受け付け、必要に応じて中継する
受信側SMTPサーバ（MTA）: 宛先ドメイン向けにメールを受け取り、格納先へ渡す
メールボックス（MDA/ストア）: 受信者のメールを保管する領域

とくにビジネス用途では、メールクライアントが直接「宛先の受信サーバ」へ投げるのではなく、まず組織の送信側サーバ（MSA）へ「正規の送信」として預け、そこから中継（MTA）される構成が一般的です。

SMTPサーバーとは

SMTPサーバは、メールの送信を受け付け、宛先へ中継・配送する役割を持つサーバです。ここでは役割とポートの意味を整理します。

SMTPサーバーの役割

SMTPサーバーは、送信者からのメールを受け取り、宛先のメールサーバへ転送します。転送の過程では、宛先ドメインの解決、配送可否の判断、失敗時の再送制御、エラー通知（バウンス）なども関与します。

実務的には「メールが届かない」問題の多くが、SMTPサーバ側の拒否（ポリシー・認証・迷惑メール判定）、宛先解決、TLS交渉失敗、レート制限などに起因します。SMTPサーバのログやエラーコードを読めることが、運用上の強い武器になります。

SMTPポートについて

SMTPは用途により、よく使われるポートが分かれています。ここは誤解が起きやすいので、役割とセットで押さえておくと安全です。

ポート25: 主にサーバ間の中継（MTA同士）で使われることが多いポートです。迷惑メール対策として、一般回線からの25番アウトバウンドをISPが制限する（OP25B）ケースがあります。
ポート587: クライアントから送信サーバへ「正規の送信（Submission）」を行うためのポートです。通常、認証（SMTP AUTH）と暗号化（STARTTLS）が組み合わされます。
ポート465: 暗号化された接続（いわゆるSMTPS、暗黙TLS）で送信するために使われることがあります。環境によって採用状況が異なるため、組織の方針やサービス仕様に合わせます。

ポイントは、「25=何でも送信」ではなく、587を使って認証付きで送るのが現代的な基本、という整理です。

SMTPの動作の詳細

SMTPは「コマンドと応答」でやり取りします。ここでは送信プロセスを少し踏み込み、実際にどんな情報が流れるのかを把握します。

送信プロセスのステップ

SMTPでの典型的な流れは次のイメージです。

クライアントがSMTPサーバへ接続する
サーバの応答を受け、クライアントが自身を名乗る（EHLO/HELO）
必要に応じて暗号化を開始する（STARTTLS）
必要に応じて認証を行う（AUTH）
送信元（MAIL FROM）と宛先（RCPT TO）を宣言する
本文送信（DATA）に入り、メッセージを送る
サーバが受理したら完了（または拒否・一時失敗）

実務上は、拒否がどの段階で起きたか（宛先指定時か、本文送信後か）で原因推定が変わります。たとえば宛先段階で拒否ならポリシー・存在確認・レピュテーション等、本文後なら内容判定や添付の問題が疑われます。

SMTPコマンドの概要

代表的なSMTPコマンドを、役割と合わせて押さえます。

EHLO/HELO: 接続後にクライアントが自身を名乗るためのコマンドです。EHLOは拡張SMTP（ESMTP）を前提にし、サーバが対応機能（STARTTLS、AUTH等）を提示します。
MAIL FROM: エンベロープ送信元（配送上の差出人）を指定します。画面に見えるFromヘッダと必ずしも同一ではありません。
RCPT TO: 宛先（配送先）を指定します。複数回実行して複数宛先にできます。
DATA: メール本文とヘッダを送るモードに入ります。
QUIT: セッションを終了します。

ここでの注意点は、「見た目の差出人（From表示）」と「配送上の送信元（MAIL FROM）」が別概念であることです。なりすまし対策（SPF等）とも関係するため、運用設計ではこの違いを意識する必要があります。

SMTPと他のプロトコル（POP、IMAP）との違い

SMTPは「送信（転送）」、POP/IMAPは「受信（取得）」と役割が分かれています。混同しやすいので、目的別に整理します。

SMTPとは

SMTP（Simple Mail Transfer Protocol）は、電子メールの送信と中継を担当するプロトコルです。送信者側から受信者側へメールを転送する役割を持ちます。

POPとは

POP（Post Office Protocol）は、メールサーバに保存されたメールをクライアントへ取り出すためのプロトコルです。古典的な使い方では「端末にダウンロードして読む」運用が中心でした。

なお、「ダウンロード後にサーバから削除されることが一般的」と言われることがありますが、これは設定次第です。現在のクライアントでは「サーバにコピーを残す」設定も一般的で、運用方針により挙動が変わります。

IMAPとは

IMAP（Internet Message Access Protocol）は、メールサーバ上のメールを参照・操作するプロトコルです。複数デバイス利用で既読／未読やフォルダが同期されやすく、ビジネス用途で採用されることが多い方式です。

SMTPのセキュリティと認証

SMTPは「メールを運ぶ」仕組みである以上、盗聴・改ざん・不正送信・なりすましといったリスクと隣り合わせです。ここでは、暗号化と認証、そして実務上避けて通れない“なりすまし対策”までを整理します。

SMTPのセキュリティリスク

SMTPを安全に使う上で代表的なリスクは次の通りです。

盗聴・改ざん: 暗号化されていない経路では、本文や宛先が読み取られる可能性があります。
不正中継（オープンリレー）: 誰でも中継できる設定だと迷惑メールの踏み台になります。
不正送信: 認証が弱いと、アカウント乗っ取りやパスワードスプレーにより送信されます。
なりすまし: 送信元ドメインを偽装したメールが出回ると、受信者側での信頼が崩れ、到達率にも影響します。

SSL/TLSによる暗号化

SMTPの通信を安全に行うための方法として、TLSによる暗号化があります。実務でよく出るのは次の2パターンです。

STARTTLS: 平文で接続し、途中でTLSへ切り替える方式です。Submission（587）でよく使われます。
暗黙TLS（SMTPS）: 接続開始からTLS前提の方式で、465が使われることがあります。

暗号化は重要ですが、「相手側がTLSを必ず使うか」「証明書の検証をどうするか」「暗号スイートの制限をどうするか」など、運用ポリシーが曖昧だとセキュリティ強度が揺れます。可能なら、送信（Submission）はTLS必須＋認証必須を基本に設計します。

SMTP認証の重要性

SMTP認証（SMTP AUTH）は、送信者が正当なユーザー／システムであることを確認し、「誰が送ったか」を送信サーバ側で担保するための仕組みです。認証がないと、第三者が勝手に送信サーバを利用できる状態になりやすく、不正送信の温床になります。

また、認証を導入するだけで十分とは限りません。実務では、多要素認証（提供される場合）、強固なパスワードポリシー、送信レート制限、異常検知などと組み合わせ、「乗っ取られても被害が広がりにくい」構造を作ることが重要です。

なりすまし対策（SPF／DKIM／DMARC）の位置づけ

SMTPそのものは「運ぶ」仕組みですが、メールの世界では「その差出人は本物か」を判断する仕組みが不可欠です。そこで使われるのが、SPF／DKIM／DMARCといったドメイン認証の枠組みです。

SPF: そのドメインから送信してよい送信元サーバ（IP等）をDNSで宣言します。
DKIM: メールに電子署名を付け、改ざん検知と送信ドメインの整合性確認に使います。
DMARC: SPF/DKIMの結果を踏まえた扱い（隔離／拒否等）とレポートを定義します。

これらはSMTPの代替ではなく、SMTPで運ばれてきたメールを「信頼してよいか」を判断するための“周辺の仕組み”です。ビジネスメールの到達率やブランド保護の観点でも重要になるため、送信基盤を設計する際はSMTPの設定とセットで扱うのが現実的です。

まとめ

SMTP（Simple Mail Transfer Protocol）は、電子メールを送信者側から受信者側へ転送するための中核プロトコルです。本記事では、SMTPの役割、送信の流れ、ポート25/587/465の意味、POP/IMAPとの違い、そして暗号化（TLS）や認証（SMTP AUTH）、なりすまし対策（SPF/DKIM/DMARC）までを整理しました。

実務で重要なのは、「送れればよい」ではなく、安全に送れることと、受信者側で信頼されることです。送信（Submission）は587＋認証＋TLSを基本にし、オープンリレーを避け、ログと制限（レート・異常検知）で被害を最小化しつつ、ドメイン認証でなりすまし耐性も固める——この一連を押さえることで、SMTPを“運用に耐える形”で使えるようになります。