C# で SendGrid を使ってメール送信するプログラムを書いていたが、TLS を効かせたらサーバー証明書の例外

C# で、SMTP で、メールを送信するぞ

C# によるプログラミングにおける話。

ここ最近はメールを送信するプログラムを書く機会もめっきり無くなっていたのだが、久しぶりにそのようなプログラムを作成する機会が発生した。

メール送信のインフラストラクチャとしては、その筋では大手 (ですよね?) の SendGrid を選択。

SendGrid を使ってメール送信を行なう場合は、SendGrid が用意してくれている REST API に HTTP POST することで実装することも多いと思うが、今回は諸事情で、古典的な SMTP プロトコルを使ったメール送信を実装することとなった。

および、昨今は、C# で SMTP でメール送信をする場合は「MailKit を使いましょう」ということらしい。

「System.Net.Mail 名前空間の各種実装はもう更新されておらず、下位互換維持のために存在しているだけなので、他のモダンな実装に移行していきましょう」といったことが、下記リンク先の公式ドキュメントに記されている。

ただこちらも諸事情あって、今回は引き続き古典的な System.Net.SmtpClient クラスを一時採用することと相成った。

ということで、そのようなメール送信を行なう C# プログラム部分は下記のようになった。

using var smtpClient = new SmtpClient( host: "smtp.sendgrid.com", port: 587)

{

    Credentials = new NetworkCredential(

        userName: "apikey",

        password: "SG....")

};

送信試験はいったんは成功したんだけど...

とりあえず簡単にメールを試験送信して無事成功することを確認。その後にもういちどソースコードを眺めていると、ふと大事な設定漏れに気づいた。EnableSsl = true の設定をしていなかったのである。ということで、危ないところであったが、EnableSsl = true の設定を追加。

using var smtpClient = new SmtpClient(...)

{

    Credentials = new NetworkCredential(...),    EnableSsl = true // 👈 追加!

};

どうせ開発用のキーだしそうそう心配したものではないと思いつつ、そうは言っても実際にインターネット経由で API キーを含む通信を平文で流してしまったのはそうなので、念のため API キーも再発行を済ませた。

その上で今一度メール送信を試験実行。

すると予期しないことに、実行時例外が発生してしまった。例外メッセージは下記のとおり。

Unhandled exception.

System.Security.Authentication.AuthenticationException: The remote

certificate is invalid according to the validation procedure:

RemoteCertificateNameMismatch

   at CompleteHandshake(SslAuthenticationOptions)

   at SslStream.ForceAuthenticationAsync[TIOAdapter](Boolean, Byte[], CancellationToken)

   at SslStream.AuthenticateAsClient(SslClientAuthenticationOptions

sslClientAuthenticationOptions)

   at TlsStream.AuthenticateAsClient()

   at SmtpConnection.GetConnection(String host, Int32 port)

   at SmtpTransport.GetConnection(String host, Int32 port)

   at SmtpClient.Send(MailMessage message)

   at Program.<Main>$(String[] args)

EnableSsl = true を設定する前はちゃんとメール送信できていたのに、EnableSsl = true を指定したとたん例外が発生するとはどういうこと? API キーを再発行したのが何かマズかった? それとも MailKit 使ってなかったのが敗因?? いろいろなことが頭の中を駆け巡る。

待て待て。こんなときはしっかりエラーメッセージを読むんだ。答えはそこに書いてあるはずだ。えーと、なになに、メッセージは「The remote certificate is invalid」と言っている。つまり、「リモート証明書が無効です」ということだ。ん? リモート証明書? それって SendGrid 側の証明書ってこと? それが無効ってどういうこと? SendGrid 側が何かやらかしたってこと? まさか証明書が期限切れになったのに更新してなかったみたいな初心者レベルのミスとかー!?

原因はやっぱり...

待て待て、もういちど落ち着こう。大体こういうパターンは自分が書いたコード中に原因がある。そもそも SendGrid がそんなミスしていたら今頃 Twitter 上で盛大に盛り上がっているはずなのだ。

ということでもういちどソースコードを眺めて見る。

using var smtpClient = new SmtpClient(

host: "smtp.sendgrid.com",

port: 587)

{

...

実は上記の中に一点、間違いがあるのだが、皆さんは気づいただろうか?

正しい実装は下記のとおり。

using var smtpClient = new SmtpClient(

host: "smtp.sendgrid.net",

port: 587)

{

...

そう、ホスト名のトップレベルドメインを間違っていたのだ。smtp.sendgrid.net としなければならないところを smtp.sendgrid.com としてしまっていたのだ。これはお恥ずかしい。「SendGrid への SMTP 経由での送信なんか、過去に何度も書いてたしー。ホスト名? ああ、アレでしょ、smtp で始まるやつでしょ、Gmail も smtp.gmail.com だったし」とナメくさって、ろくに公式ドキュメントを確認もせずに smtp.sendgrid.com って書いてしまったのが敗因であった。

なお、nslookup で、それぞれのホスト名 smtp.sendgrid.com と smtp.sendgrid.net を正引きしてみると、どちらも同じ IP アドレスが返る、っていうか、smtp.sendgrid.com は smtp.sendgrid.net へのエイリアス (CNAME) であった。

 C:\> nslookup smtp.sendgrid.com 8.8.8.8

 Server:  dns.google

 Address:  8.8.8.8

 

 Non-authoritative answer:

 Name:    smtp.sendgrid.net

 Addresses:  52.220.95.193

           13.114.210.107

 Aliases:  smtp.sendgrid.com

 

 C:\> nslookup smtp.sendgrid.net 8.8.8.8

 Server:  dns.google

 Address:  8.8.8.8

 

 Non-authoritative answer:

 Name:    smtp.sendgrid.net

 Addresses:  13.114.210.107

          52.220.95.193

EnableSsl = false の場合、非セキュア接続の場合は証明書の確認や暗号化など行なわずに平文でやりとりするだけだ。その場合、smtp.sendgrid.com でも smtp.sendgrid.net でも、どちらのホスト名を指定しても接続する先の IP エンドポイントに違いがないため、そのまま SMTP でメール送信できていたようだ。

いっぽうで EnableSsl = true としてセキュア接続を使用する場合は、通信相手のサーバーの証明書を確認する必要が出てくる。ここで証明書はその発行対象であるコモンネームを含むので、発行対象とは異なるコモンネームになるホスト名でセキュア接続を試みると、証明書の検証がエラーとなる。SendGrid としては公式ドキュメントサイトで説明しているとおり、SMTP ホスト名は「smtp.sendgrid.net を設定してください」とあるので、この SMTP サーバーの証明書は「smtp.sengrid.net」をコモンネームとして取得しているはずだ。なのに自分のプログラムは「smtp.sendgrid.com」なんていうホスト名で接続しようとしたものだから、たしかに IP アドレスは正しく解決できて TCP ポート 587 番で通信は開始したけど、結果、先の例外メッセージにある「リモート証明書が無効です」はこういう訳だったのだ。

おわりに

教訓。

自分が作ったプログラムでトラブルがあると、その原因を、接続先のサービスや、はてはクラスライブラリやコンパイラのバグに求めたくなることがあるかもしれない。でも多くの場合は、自分のプログラムに原因があることがほとんどだ (と思う。自分の身の上では。)