Thunderbirdの「サーバーがTLS 1.2をサポートしていません」というセキュリティ警告を修正する方法

ThunderbirdでメールサーバーがTLS 1.2をサポートしていないと表示される場合、通常はThunderbirdのセキュリティ設定を弱めないことが最も安全な解決策です。まず、受信サーバー名、送信サーバー名、ポート番号、接続セキュリティの設定が、メールプロバイダが公開している設定と一致していることを確認してください。これらの設定が正しくても警告が表示される場合は、サーバー自体が古いTLS 1.0またはTLS 1.1に制限されている可能性があり、プロバイダまたは管理者によるアップグレードが必要になります。

TLS（Transport Layer Security）は、Thunderbirdとメールサーバー間の接続を暗号化するプロトコルです。2020年7月17日にリリースされたThunderbird 78では、TLS 1.0とTLS 1.1がデフォルトで無効になっています。Mozillaの現在のサポートガイダンスでは、TLSの最小要件を下げることは、セキュリティを低下させる一時的な診断措置であり、推奨される恒久的な解決策ではないとされています。Thunderbird 78のリリースノートとMozillaのThunderbird 78 FAQを参照してください。

変更を加える前に必要なもの

メールプロバイダの最新の設定手順をブラウザで開いてください。受信サーバー名、送信SMTPサーバー名、ポート番号、接続セキュリティ、認証方法を正確に把握しておく必要があります。数年前に使用したポート番号が現在も有効であるとは限らないので注意してください。

ここで重要な用語は3つあります。

• Thunderbirdは、メールを受信する際にIMAPまたはPOPというプロトコルを使用します。IMAPは通常、サーバーとメールを同期させますが、POPは通常、メッセージをダウンロードします。
• SMTPは、メールを送信するために使用されるプロトコルです。
• SSL/TLSとSTARTTLSは、暗号化された接続を確立する2つの方法です。SSL/TLSは接続開始直後から暗号化されています。STARTTLSは最初に接続を開始し、その後TLSにアップグレードします。プロバイダが特定のポート用に指定しているモードを使用してください。

これが企業、学校、または自己ホスト型のメールボックスである場合は、メール管理者にサポートされているTLSバージョンと承認済みのIMAP/POPおよびSMTPエンドポイントを確認してください。セキュリティ警告はサーバー自体が原因で発生することもありますが、Thunderbirdが古いホスト名、レガシープロキシ、または旧式のゲートウェイを指している場合にも発生する可能性があります。

ステップ1：どちらの側が故障しているかを確認する

問題がメールの受信時、送信時、またはその両方で発生するかどうかを確認してください。受信が失敗する場合は、まず受信側のIMAPまたはPOPの設定を確認してください。送信が失敗する場合は、SMTPを確認してください。プロバイダの移行またはThunderbirdのアップデート直後に両方とも失敗する場合は、ホスト名とポートが異なる可能性があるため、両方を確認してください。

Mozillaの現在のトラブルシューティングページでは、他の設定を変更する前に、Thunderbirdの設定をプロバイダの公式ドキュメントの設定と比較することを推奨しています。受信に関する問題と送信に関する問題に関する公式ガイドの両方で、TLSのバージョンが古いことが原因の一つとして挙げられています。

ステップ2：受信サーバーの設定を確認する

Thunderbirdのアプリケーションメニューを開き、「アカウント設定」を選択します。該当するアカウントを選択し、「サーバー設定」を開きます。サーバー名、ポート番号、接続セキュリティ、認証方法、ユーザー名をプロバイダの現在の指示と比較してください。

警告を消すためだけに、正常に動作しているセキュリティ設定を「なし」に変更しないでください。これにより、トランスポート暗号化が解除され、認証情報やメッセージトラフィックが漏洩する可能性があります。Mozillaのアカウント設定に関するドキュメントでは、SSL/TLSが利用可能な場合は推奨される暗号化オプションであり、STARTTLSは当初暗号化されていない接続からのアップグレードであると説明されています。アカウントの設定オプションを参照してください。

ステップ3：送信SMTP設定を個別に確認する

アカウント設定で「送信サーバー（SMTP）」を選択し、メールアカウントに割り当てられているサーバーを選択して編集します。SMTPホスト名、ポート番号、接続セキュリティ、認証方法、ユーザー名をプロバイダが公開している値と比較してください。

ポート587は一般的にSTARTTLSと組み合わせて使用​​され、ポート465は暗黙的TLSによく使用されますが、これらはアカウントに強制すべき普遍的なルールではありません。プロバイダのドキュメントが正しい情報源です。また、正しいSMTPサーバーが正しいIDに割り当てられていることを確認してください。Thunderbirdの公式送信ガイドには、別のアカウントプロバイダのSMTPサービスを使用すると失敗する可能性があると記載されています。

ステップ4：TLSの詳細設定を変更する前に再度テストする

修正したアカウント設定を保存し、Thunderbirdを再起動してください。メールを受信して​​から、管理しているアドレスに短いテストメッセージを送信してみてください。片方の送信は成功し、もう片方の送信が失敗する場合は、問題の原因が受信メールまたはSMTPにあると特定できます。

TLS警告が引き続き表示される場合は、プロバイダまたは管理者に連絡し、直接質問してください。「この特定のメールエンドポイントはTLS 1.2以降をサポートしていますか？」と。Thunderbirdが使用しているホスト名とポート番号を伝えてください。こうすることで、「サービスはTLS 1.2をサポートしています」とサポート担当者が確認しても、実際には特定のレガシーIMAP、POP、SMTP、プロキシ、またはロードバランサーのエンドポイントがサポートしていないという、よくある行き詰まりを回避できます。

ステップ5：設定エディタは一時的な診断ツールとしてのみ使用する

Thunderbirdには、設定エディターと呼ばれる高度な設定ページがありますabout:config。Mozillaは、このツールは上級者向けであり、デフォルト以外の変更はThunderbirdの動作不良やトラブルシューティングの複雑化につながる可能性があるためサポートされていないと明言しています。現在のパスは、メニュー > 設定 > 一般 で、一番下までスクロールして、設定エディターを選択します。Mozillaの公式設定エディターのドキュメントを参照してください。

古いサーバーの場合、MozillaのThunderbird 78 FAQには、security.tls.version.minTLSの古いバージョンが原因かどうかをテストする方法として、より低い値に変更する方法が記載されています。この方法でメールが正常に動作するようになった場合は、サーバー側の互換性の問題であることが確認されたことになります。ただし、この低い設定が長期的な解決策として適切であるとは限りません。

テスト後、設定をデフォルト値に戻してください。最新のThunderbirdでは、変更された設定は太字で表示され、元に戻すコントロールでデフォルト値に戻すことができます。その後、プロバイダにTLS 1.2以降を有効にするか、メールボックスをサポートされているエンドポイントに移動するか、または最新の接続設定を提供するよう依頼してください。

TLSレベルを恒久的に下げることがなぜ悪い解決策なのか

TLS 1.0とTLS 1.1は廃止されたプロトコルです。Thunderbirdがデフォルトで無効にしているのには理由があります。古いプロトコルを有効にしたままにしておくと、プロトコルの脆弱性にさらされるリスクが高まり、クライアントは現代のソフトウェアではもはや適切とはみなされないセキュリティレベルを受け入れることになります。メールボックスが業務上重要であり、サーバーをすぐにアップグレードできない場合は、一時的な互換性変更を通常の構成ではなく、終了日を定めた例外として扱ってください。

サードパーティがホストする個人用メールボックスの場合、実用的な解決策としては、プロバイダーの最新のメールエンドポイントに移行するか、最新のTLSをサポートするプロバイダーを選択することが考えられます。内部サーバーの場合は、メールサーバー、リバースプロキシ、ロードバランサー、またはTLS終端ゲートウェイに恒久的な解決策を講じる必要があります。

避けるべきよくある間違い

• まずはパスワードを変更してください。TLSプロトコルの不一致は、通常のメールボックス認証が完了する前に発生するため、パスワードをリセットしても通常はこの警告は解消されません。
• 接続セキュリティを「なし」に切り替えます。これにより、TLSサポートの問題が解決されるのではなく、暗号化が解除される可能性があります。
• IMAPとSMTPが同じエンドポイントを使用していると仮定すると、ホスト名、ポート番号、TLSモードが異なる場合が多い。
• ランダムなフォーラムからポート番号をコピーしないでください。プロバイダの最新のドキュメントを参照してください。
• TLSの最小レベルを下げた状態で有効にしておきます。古いサーバーの診断に使用していた場合は、テスト後に元に戻してください。
• VPN、ウイルス対策ソフト、プロキシ、ファイアウォールによる傍受は無視してください。Mozillaは、これらの製品がメール接続をブロックまたは傍受する可能性があることを指摘しています。特にThunderbirdのアップデート後にその傾向が顕著になります。プロバイダがTLS 1.2のサポートを確認している場合は、ローカルネットワークのセキュリティソフトウェアが干渉していないかテストしてください。

修理がうまくいったかどうかを見分ける方法

修復が成功したかどうかは、次の3つの兆候で確認できます。ThunderbirdでTLS警告なしで新しいメールが受信されること、設定済みのSMTPサーバー経由でテストメッセージが正常に送信されること、そして安全でないTLS互換性を有効にしたままにする必要がなくなったことです。片方向のみが正常に動作する場合は、対応する受信または送信設定を確認してください。どちらの方向も動作せず、プロバイダがホスト名がTLS 1.2以降をサポートしていることを確認した場合は、次にファイアウォール、VPN、プロキシ、ウイルス対策ソフト、証明書、またはネットワークパスの問題を調査してください。

ローカルでのトラブルシューティングを停止すべきタイミング

アカウントがプロバイダの公開設定と一致し、プロバイダがエンドポイントがTLS 1.0または1.1に制限されていることを確認したら、Thunderbirdの設定変更は停止してください。その時点で、クライアントは設計どおりの動作、つまりセキュリティレベルを下回る接続を拒否する動作をしています。恒久的な解決策は、サーバーのアップグレードまたは移行です。

サーバーを自分で管理している場合は、メールアプリケーションだけでなく、実際に接続を終端するサービス上のTLS設定も確認してください。一部の環境では、プロキシまたはゲートウェイがIMAPまたはSMTPの暗号化を処理しています。TLS終端レイヤーが古いプロトコルバージョンしか提供していない場合、バックエンドのメールソフトウェアをアップグレードするだけでは解決しません。

結論

Thunderbirdで「サーバーがTLS 1.2をサポートしていません」という警告が表示された場合は、まずプロバイダの最新のIMAP/POPおよびSMTP設定を確認し、古いホスト名、ポート、またはセキュリティモードを修正してから、再度テストしてください。Thunderbirdの高度なTLS設定は、レガシーサーバーの簡単な診断ツールとしてのみ使用してください。テストでTLSが古いことが確認された場合は、デフォルト設定に戻してサーバー側を修正してください。この方法であれば、接続セキュリティを損なうことなく、根本的な問題を解決できます。