STARTTLSは、メールを送るときの通信を、途中から暗号化に切り替える仕組みです。メールの送信には「SMTP」という通信の決まりごとが使われますが、そのままでは内容が暗号化されず、配達の途中で第三者にのぞき見られたり書き換えられたりするおそれがあります。STARTTLSはこの通信を暗号化し、傍受のリスクを下げます。
本記事では、STARTTLSが何をする仕組みなのかを、専門用語をかみくだきながら解説します。仕組みやポート番号、SSL/TLS・SMTPSとの違い、メリットと限界、設定・確認方法まで順に見ていきます。
目次
STARTTLSとは
STARTTLS（スタートティーエルエス）とは、暗号化されていない通信を、暗号化された通信へ途中から切り替えるための仕組みです。名前は「START」と「TLS」を組み合わせたもので、通信を始めたあとにTLS（通信を暗号化する技術）へ移行する、という動作をそのまま表しています。
まず前提となる言葉を整理します。メールを送るときにはSMTPという通信の決まりごと（プロトコル）が使われます。標準のSMTPでは、やり取りが平文、つまり暗号化されずにそのまま読める状態で送られます。この平文の通信を、暗号化された通信に切り替えるのがSTARTTLSの役割です。
イメージとしては、電話で普通に話し始めたあとに「ここから内密に話しましょう」と合図し、それ以降を第三者には意味の分からない暗号でやり取りするようなものです。最初は暗号化されていない状態で始まり、途中から暗号化に切り替わる、という点がSTARTTLSの特徴です。
なお、暗号化されていないメールは、はがきのように配達の途中で内容を読まれるおそれがあります。STARTTLSはこの経路（メールが通る道すじ）を暗号化して、盗み見や書き換えを防ぎやすくします。
STARTTLSが必要な理由
そのままのSMTPは平文で通信されるため、暗号化しないままでは通信の安全性に不安が残ります。STARTTLSが求められる理由を2つの観点で見ていきます。
盗聴・改ざんのリスク
暗号化していないメールは、送信元から受信先へ届くまでの経路の途中で、内容を第三者に読み取られるおそれがあります。取引情報や個人情報を含むメールが読み取られれば、情報漏洩や信用の低下につながりかねません。STARTTLSで経路を暗号化することは、こうしたリスクを下げる基本的な対策です。
Gmailガイドラインでの必須化
経路の暗号化は、いまや任意の対策ではなくなりつつあります。Googleは2024年2月以降、Gmail宛てにメールを送るすべての送信者に対し、メール送信者のガイドラインのなかでTLS接続（＝暗号化された通信）の使用を求めています。
このTLS接続は、SMTPにSTARTTLSの機能を加えることで実現されます。要件を満たさない場合、メールが拒否されたり迷惑メールに振り分けられたりする可能性があります。ガイドラインの全体像は、以下の記事で詳しく解説しています。
STARTTLSの仕組み
STARTTLSは、平文で始まった通信の途中で暗号化へ切り替えます。
暗号化に切り替わる流れ
STARTTLSでは、次のような流れで平文の通信から暗号化された通信へ移行します。
- メールを送る側が、相手のサーバーへ接続する
- 相手がSTARTTLS（暗号化への切り替え）に対応しているかを確認する
- 対応していれば、暗号化を始める合図を送る
- 両者で暗号化の準備を整え、以降のやり取りを暗号化する
この「暗号化を始める合図」が、その名の通り STARTTLS というコマンドです。これを送ったあと、双方で暗号化の設定（TLSハンドシェイク＝暗号化通信を始めるための手続き）を行い、そこから先が暗号化されます。最初のやり取りは平文で、そのあとに暗号化が始まるという順序が、STARTTLSの動作の要点です。
STARTTLSで使われるポート番号
ポートとは、通信の出入り口のことです。住所（IPアドレス）に対する「部屋番号」のようなもので、届いたデータを機器内のどのシステムに渡すかを見分ける役割があります。
STARTTLSは、暗号化のための専用の出入り口を新しく用意する必要がありません。メール送信で従来から使われてきた25番や587番といったポートを、そのまま暗号化に切り替えて使えます。この「既存のポートを流用できる」点は、次に説明するSMTPSとの大きな違いです。
SSL/TLS・SMTPSとの違い
STARTTLSを理解するうえで関わりが深いのが、SSL/TLSやSMTPSという言葉です。それぞれとの関係を整理します。
SSLとTLSの関係
SSL（Secure Sockets Layer）とTLS（Transport Layer Security）は、どちらも通信を暗号化するための技術です。TLSはSSLの後継として作られたもので、STARTTLSはこのTLSを使って通信を暗号化します。つまり、SSL/TLSが暗号化の方式、STARTTLSがそれを平文の通信に適用するための手順、という関係です。
なお、SSLや初期のTLS（TLS 1.0／1.1）は安全性の問題が指摘され、現在は利用が推奨されていません。安全性の観点からは、より新しいTLS 1.2以降での通信が推奨されます。
STARTTLSとSMTPS（465番）の違い
SMTPSも通信を暗号化する仕組みですが、STARTTLSとは暗号化を始めるタイミングが異なります。STARTTLSが平文で始めてから途中で暗号化へ切り替えるのに対し、SMTPSは接続した最初から暗号化を行い、そのための専用ポート（465番）を使います。
| 項目 | STARTTLS | SMTPS（SSL/TLS） |
|---|---|---|
| 暗号化の開始 | 接続後、途中から切り替える | 接続した最初から暗号化 |
| 主なポート | 25番・587番（既存のポートを利用） | 465番（専用ポート） |
| 始め方 | 平文で始め、暗号化へ切り替える | 最初から暗号化された状態で接続する |
STARTTLSのメリットと限界
STARTTLSのメリットと限界は、いずれも「相手が対応していれば暗号化し、対応していなければ平文で送る」という性質から生まれます。両者は同じ性質の表と裏の関係にあるため、あわせて整理します。
メリット：導入しやすく、相手を選ばない
STARTTLSは、暗号化のための専用ポートを新しく用意する必要がありません。前述のとおり25番や587番といった既存のポートをそのまま使って暗号化に切り替えられるため、設定や環境変更の負担が小さく済みます。
また、相手が暗号化に対応していれば暗号化し、対応していなければ平文で送ります。この柔軟さのおかげで、相手のサーバーが暗号化に対応していない場合でも、メール自体は届きます。さまざまな相手とやり取りする実際のメール送信で、通信を止めずに暗号化を試みられる点は実用的です。
限界：暗号化が保証されるわけではない
「相手が対応していなくても送れる」という柔軟さは、裏を返すと相手が対応していなければ平文のまま送られることを意味します。送る側が暗号化を望んでいても、相手次第で平文になり得る点には注意が必要です。
さらに、通信の最初の部分が平文であることを悪用した攻撃も知られています。攻撃者が通信の途中に割り込み、暗号化への切り替えを妨げて、平文のまま通信させてしまう手口です。これはダウングレード攻撃（暗号化のレベルを無理やり下げる攻撃）と呼ばれ、STARTTLS単体ではこうした攻撃を完全には防げません。
STARTTLSの限界を補う技術
STARTTLSの「相手次第で平文になる」という弱点を補い、暗号化を確実にするための仕組みも用意されています。代表的な2つを紹介します。
MTA-STSで暗号化を必須にする
MTA-STSは、メールを受け取る側が「このドメイン宛ては暗号化を必須にする」というルールを公開しておく仕組みです。送る側はこのルールを確認し、暗号化できない場合は送信しない、という動作ができるようになります。これにより、意図せず平文で送られてしまうリスクを下げられます。
DANEで接続先の正しさを確認する
DANEは、DNS（ドメイン名とサーバーを結びつける仕組み）を利用して、暗号化に使う証明書が正しいものかを確認できるようにする技術です。MTA-STSと同じく、STARTTLSの「できれば暗号化する」を「暗号化できなければ送らない」へと引き上げる役割を持ちます。
STARTTLSの設定・確認方法
ここではメールを送る側（配信担当者）の視点で、STARTTLS（TLS接続）が使える状態かを確認する方法を整理します。確認の対象は自社の送信環境であり、受信者側の操作ではありません。
送信側の設定を確認する
まず確認したいのは、自社の送信環境（配信サーバーやメール配信システム）でSTARTTLSが有効になっているかです。市販のメール配信システムでは標準で有効なことが多い一方、自社でメールサーバーを構築している場合は有効になっていないこともあるため、送信時に暗号化された通信が使われる設定になっているかを確認します。
メールが暗号化されて届いたかを確認する
実際に送ったメールが暗号化されて届いたかは、受け取ったメール側で確認できます。たとえばGmailでは、暗号化されずに届いたメールに鍵の警告アイコンが表示されます。受信したメールの詳細情報から、暗号化された通信で受信されたかを確認する方法もあります。
送信側のTLS設定の具体的な手順や、Gmail・Outlookでの確認手順は、以下の記事で詳しく解説しています。
メールのセキュリティを強化するならメール配信システムを活用する
STARTTLSが対策できるのは盗聴・改ざんで、差出人のなりすまし（送信元を偽って送られるメール）は防げません。なりすまし対策には、SPF・DKIM・DMARCといった別の仕組み（送信ドメイン認証）が必要です。仕組みと設定は以下の記事で解説しています。
暗号化・なりすまし対策・大量配信の運用を個別に整えるのは負担が大きいため、これらに標準で対応したメール配信システムを使う方法があります。
メール配信システムを使うメリット
メール配信システムを利用すると、セキュリティ対策と配信業務を一つの基盤でまとめて効率化できます。主なメリットは次の通りです。
- 暗号化された通信（TLS／STARTTLS）に標準対応し、設定の手間を抑えられる
- SPF・DKIM・DMARCなどのなりすまし対策に対応しやすい
- 大量のメールでも届きやすい配信基盤を利用できる
- 開封率やクリック率などの効果測定で配信を改善できる
暗号化やなりすまし対策の設定を個別に構築・維持する負担を抑えつつ、メール配信業務そのものの効率化にもつながります。
おすすめのメール配信システム「ブラストメール」
ブラストメール（blastmail）は、15年連続で導入社数シェアNo.1（※）を獲得している日本最大級のメール配信システムです。27,000社以上の導入実績があり、専門知識がなくても直感的に操作できるシンプルな管理画面が特徴です。
- TLS（STARTTLS）に標準対応：メール配信時の通信を暗号化し、経路上の盗聴・改ざんのリスクを抑えます
- なりすまし対策への対応：SPF・DKIMに対応し、Gmailガイドラインに沿った運用ができます（DKIMはStandardプラン以上）
- 効果測定：開封率・クリック率・エラーカウントを確認でき、次の施策に活かせます
- フィルタ配信（セグメント配信）：読者の属性でグループを作り、対象を絞って配信できます
暗号化や認証への対応と、直感的に使える操作性を両立しているため、はじめてメール配信のセキュリティ対策に取り組む企業にも扱いやすいシステムです。まずは無料トライアルで操作感を確認できます。
公式サイト：シェア1位のメール配信システム「ブラストメール」
※ミックITリポート2025年8月号「クラウド型eメール一斉配信サービスの市場動向と中期予測（売上高/アクティブ法人顧客数）」より
おすすめのメール配信システム「blastengine」
blastengine（ブラストエンジン）は、お客様のシステムとSMTPリレーやAPIで連携し、一斉配信やトランザクションメールを高速に送信できるメール配信サービスです。運用・メンテナンスをブラストエンジン側で行うため、エンジニアをメールサーバー管理の負担から解放します。
- SPF/DKIM/DMARC・TLS対応：なりすまし対策と経路の暗号化に標準対応し、なりすまし・盗聴のリスクを抑えます
- API連携・SMTPリレー：既存システムへの組み込みが容易で、最短当日から利用を開始できます
- 99%以上の高い到達率：国内キャリア・ISPへの個別送信ロジックで確実に届けます
- バウンスメール自動対応：エラーメール管理を自動化し、運用負荷を抑えます
なりすまし対策や暗号化に標準対応した基盤を、システム連携で確実に利用したい企業に適しています。メールアドレスの入力のみで無料トライアルが可能です。
ブラストエンジン公式サイト：https://blastengine.jp/
FAQ
- Q：STARTTLSとSMTPSの違いは何ですか？
- A：暗号化を始めるタイミングが異なります。STARTTLSは平文で接続してから途中で暗号化に切り替える方式で、25番・587番などの既存のポートを使います。一方SMTPSは接続した最初から暗号化を行い、専用の465番ポートを使います。
- Q：STARTTLSに対応していればメールは必ず暗号化されますか？
- A：必ずしも暗号化されるとは限りません。STARTTLSは送る側と受け取る側の双方が対応している場合のみ暗号化され、相手が対応していない場合は平文で送信されます。暗号化を必須にしたい場合は、MTA-STSなどの仕組みを併用します。
- Q：STARTTLSでなりすましメールは防げますか？
- A：防げません。STARTTLSが対策するのは盗聴・改ざんで、差出人のなりすましは対象外です。なりすまし対策には、SPF・DKIM・DMARCといった送信ドメイン認証を利用します。
- Q：Gmail宛ての送信でSTARTTLSは必要ですか？
- A：必要です。Googleは2024年2月以降、Gmail宛てに送るすべての送信者に暗号化された通信（TLS接続）を求めており、これはSTARTTLSによって実現されます。対応していないとメールが拒否・迷惑メール判定される可能性があります。
まとめ
STARTTLSは、平文で始まったメールの通信を、途中から暗号化に切り替える仕組みです。「相手が対応していれば暗号化する」という性質から、既存のポートで導入しやすく相手が対応していなくてもメールは届く一方、相手次第で平文になり、ダウングレード攻撃の余地も残ります。
この弱点を補うMTA-STSやDANE、なりすましを防ぐSPF・DKIM・DMARC、メール本文そのものを守るS/MIMEなどは、それぞれ守備範囲が異なります。STARTTLSと役割を分けて組み合わせることが、安全なメール運用につながります。
Googleの送信者ガイドラインで暗号化された通信が求められるなど、経路の暗号化は基本の要件になりつつあります。暗号化やなりすまし対策に標準対応したメール配信システムを利用することで、設定と運用の負担を抑えながらセキュリティ対策を整えられます。
