はじめに
先日、とある組織のドメインおよびレンタルサーバーの、大塚商会アルファメールから、さくらのレンタルサーバーへの移行を支援する機会がありました。
移行はおおむねうまくいったのですが、ひとつだけ、メール送受信まわりで失敗があったのでここに記録しておきます。
レンタルサーバーの移行と失敗
一般的には、レンタルサーバーの移行（引っ越し）手順は、以下が推奨されています。
- ドメインの移行
- 移行先サーバーでWebデータをアップロード、メールアドレス設定
- ネームサーバーの切り替え（それとともに、Webサーバーとメールサーバーが切り替わる）
（参考）
・さくらのレンタルサーバーヘルプ サーバー移転ガイド（他社サービスから引越ししたい）
https://help.sakura.ad.jp/purpose_beginner/2591/
ただ、一般的に、NSレコードのキャッシュ時間は比較的長く、ネームサーバーの切り替えがインターネット上に浸透するには、24～48時間程度かかります。
クライアントやメール送信元サーバーのDNSキャッシュ状況により、Webアクセスやメールが移行元、移行先のどちらに届くかわからない時間が、日単位で長くなってしまいます
※アルファメールのDNSレコードは、NSレコードもそれ以外のレコードも、TTLは 21600（＝6時間）でした。
このため、今回のレンタルサーバー移行は、以下の手順としました。
- ドメインの移行
- 移行先サーバーでWebデータをアップロード、メールアドレス設定
- ネームサーバーの切り替え（DNSゾーン情報は移行元サーバーのまま）
- Webサーバーの切り替え
- メールサーバーの切り替え
Web用のAレコードや、メール用のMXレコードのTTLは、さくらのネームサーバーのデフォルトでは3600（＝1時間）ですが、さらに短く300（＝5分）程度にしておくことで、Webやメールの切り替え時に、どちらにアクセスするかわからない時間をかなり短くすることができます。
とくにメールのほうは、ユーザーの負担を減らせるでしょう。
ただし、今回の移行では、「移行元のDNSゾーン情報は取得できない」という懸念点がありました。
これは、アルファメールの仕様で、DNSレコード設定は可能であるものの、AレコードやCNAMEレコードは設定できず、また、ユーザーが設定した以外のレコードは参照できませんでした。
（参考）
・大塚商会アルファメール／アルファメール２ 会員サイトFAQ DNSレコード情報を変更できますか?
https://www.alpha-mail.jp/faq/domain/003718.html
それでも、
- 存在しそうなレコードをdigコマンドで確認。
- DKIMレコードは、該当ドメインからの受信メールのヘッダー情報でセレクタを確認し、そこからdigコマンドで確認。
といった方法で、考え得る限りのDNSレコードを取得し、移行先のさくらのネームサーバーに設定しました。
ところが、ネームサーバーの切り替えを実施した数時間後、
「ユーザーのメールソフトの送受信で接続エラー」
という問題が発生しました。
（この時点ではメールサーバーを切り替えていないので、アルファメールのメールサーバーに接続できない、ということ。）
調査したところ、メールソフトのメールサーバー指定で、以下の独自ドメインを指定しているユーザーが多く存在しました。
pop.<ドメイン名>
imap.<ドメイン名>
amsub.<ドメイン名>
smtp.<ドメイン名>
（参考）
・大塚商会アルファメール／アルファメール２ 会員サイト メールソフト設定
https://www.alpha-mail.jp/support/mail-ftp/mail/
※smtp. については、マニュアルには記述がありませんでしたが、メールソフトでは設定していました。
急いで、これらのDNSレコードを追加したところ、無事、問題が解消され、問題なくメール送受信できるようになりました。
「メールソフトのメールサーバー設定で独自ドメインを使用する」ということには考えが至らず、思慮が足りなかったです。
今後、同様の移行案件がある場合は、十分注意します。
暗号化なしのメール送受信
ところで、「メールソフトのメールサーバー設定で独自ドメインを使用する」のは、暗号化なしでメール送受信する場合の、POP/IMAP/SMTPサーバーの指定方法です。
暗号化ありの場合は、メールサーバー名として、例えば以下のようなサービス用のドメインを使用します。
spop.alpha-mail.jp（アルファメールのPOP）
sv***.xserver.jp（XServer）
***.sakura.ne.jp（さくらのレンタルサーバー）
これは、暗号化する場合は、SSL証明書が必要となりますが、独自ドメインごとにメールサーバー用のSSL証明書を用意するのは難しいからだと思われます。
（参考）
・さくらのレンタルサーバーヘルプ メールソフト（メーラー）の設定内容を知りたい
https://help.sakura.ad.jp/mail/2114/
・XServerレンタルサーバー マニュアル メールソフトの設定
https://www.xserver.ne.jp/manual/man_mail_setting.php
セキュリティ要件が厳しくなっている昨今、機密情報を多く扱うと思われる、メールの送受信経路が暗号化されず平文のまま、って危険すぎませんか？
例えば、Webサイトのお問い合わせフォームはHTTPSで暗号化していても、そのお問い合わせ内容が平文のメールで通知されてしまっては、意味がありません。
Google Workspace等、Webメールを使用する組織も増えていると思いますが、メールソフトによるメール送受信はまだまだ多いようですし、数年前～10年以上前からメールソフト設定を変えていなければ、暗号化なしの送受信設定が残っているケースは意外と多いのではないでしょうか。
その状態で、出先の無線LANや、出張先のホテルのネットワークを使用したりすると、、、
と考えると、怖いですね。
僕もお客様の案件でプロジェクトに参画する際にセキュリティチェックを受けることがありますが、「メール送受信は暗号化する」のようなチェック項目は見たことがないので、意外と盲点のような気がします。
うちのセキュリティ規定にも記載がないので、追加します。