SSL/TLS denince akla ilk web siteleri (443 portu) gelir. Oysa e-postanın taşındığı SMTP, IMAP ve POP portları da en az onun kadar kritiktir. Bir mail sunucusunun sertifikası sessizce süresi dolduğunda ya da yalnızca eski TLS sürümlerini desteklediğinde, e-posta akışı kesilir veya araya giren biri iletileri okuyabilir. Bu yazıda mail servislerinde TLS’in nasıl çalıştığını ve Mail / Servis TLS aracıyla bunu nasıl denetleyeceğinizi anlatıyoruz.
Mail Portları ve Şifreleme Modelleri
E-posta iki farklı TLS modeli kullanır:
- Implicit TLS (baştan şifreli): Bağlantı daha ilk saniyeden TLS ile açılır. Portlar:
465(SMTPS),993(IMAPS),995(POP3S). - STARTTLS (fırsatçı şifreleme): Bağlantı düz metin başlar, sonra
STARTTLSkomutuyla şifreliye yükseltilir. Portlar:587(Submission),25(SMTP),143(IMAP),110(POP3).
STARTTLS’in zayıf noktası şudur: yükseltme başlamadan önce araya giren bir saldırgan STARTTLS komutunu düşürebilir (STARTTLS stripping) ve iletişim düz metin kalır. Bu yüzden mümkün olan yerde implicit TLS (465/993/995) tercih edilir ve gönderen tarafta MITM saldırılarına karşı MTA-STS gibi zorlayıcılar kullanılır.
Mail Sunucusunda Neler Yanlış Gider?
Sessizce Dolan Sertifika
Web sertifikanızı düzenli yenilerken mail sunucusunun sertifikasını unutmak çok yaygındır. Süre dolduğunda istemciler “güvenli değil” uyarısı verir veya bağlantıyı tamamen reddeder — çoğu zaman kimse fark etmeden e-posta trafiği durur.
Eksik Sertifika Zinciri
Sunucuya yalnızca yaprak (leaf) sertifika yüklenip ara sertifika (intermediate) atlandığında, bazı istemciler zinciri doğrulayamaz. Tarayıcılar bazen eksik ara sertifikayı tamamlar ama mail istemcileri genellikle tamamlamaz; sonuç: sizde çalışır, karşı tarafta çalışmaz.
Zayıf TLS Sürümleri
TLS 1.0 ve 1.1 artık güvensiz kabul edilir. Mail sunucuları web sunucularına göre daha geç güncellendiğinden, hâlâ bu eski sürümleri açık bırakanlar çoktur. Neden kapatılmaları gerektiğini TLS 1.2 ve 1.3 Farkı yazımızda ayrıntılı bulabilirsiniz.
Aracımız Ne Kontrol Eder?
Mail / Servis TLS aracı, verdiğiniz host için yaygın mail portlarına tek tek bağlanır ve her port için şunları raporlar:
- Sertifikanın bitiş tarihi ve kalan gün sayısı,
- Sertifika zincirinin tam olup olmadığı (eksik ara sertifika tespiti),
- Desteklenen TLS sürümleri ve zayıf sürüm (1.0/1.1) uyarısı,
- STARTTLS gereken portlarda yükseltmenin gerçekten çalışıp çalışmadığı.
Önemli: MX Kaydı Her Zaman Mail Sunucusu Değildir
Bir alan adının MX kaydı çoğu zaman doğrudan mail sunucusuna değil, önündeki bir güvenlik ağ geçidine (spam filtresi/relay) işaret eder. Bu yüzden test ederken apex alan adını değil, asıl izlemek istediğiniz mail sunucusunun host adını (ör. mail.firma.com) girmelisiniz. Web sitesi (Cloudflare vb.) ile mail sunucusu genellikle farklı hedeflerdir; ikisini ayrı ayrı kontrol edin.
Sürekli İzleme
Sertifika bitişleri her zaman en kötü zamanda gelir. SecRadar üye panelinde mail sunucunuzun host adını ayrı bir hedef olarak ekleyip Mail TLS kontrolünü açtığınızda; sertifika bitişine 30/15/7 gün kala, zincir bozulduğunda veya zayıf bir TLS sürümü açıldığında e-posta ya da Telegram bildirimi alırsınız.
Genel SSL/TLS temeli için SSL Sertifikası Nedir, Nasıl Alınır? yazımıza bakın; mail sunucunuzu hemen test etmek için Mail / Servis TLS aracını kullanın.