imaps 是什么
993 是 IMAP over TLS 的端口，也是隐式加密（implicit TLS）形态的代表：连接一建立就先做 TLS 握手，然后在加密通道里进行 IMAP 会话，不存在明文问候阶段。另一条路线是 143 上的 STARTTLS，先明文连接再升级加密。现代邮件客户端默认优先 993/995，理由很实际：加密不是可选项，也就没有被降级协商绕过的机会。
基本信息
| 服务 | imaps（IMAP over TLS） |
|---|---|
| 协议 | TCP 993 |
| 规范 | RFC 9051（IMAP4rev2）与加密传输建议 |
| 对照端口 | 143 IMAP + STARTTLS、995 POP3S、110 POP3 |
| 安全等级 | 可对公网开放，须有效证书与口令策略 |
典型使用场景
- 多设备同步收件：笔记本、手机与网页端共享同一邮箱状态
- 客户端配置：Outlook、Thunderbird、手机邮件应用默认选 993
- 自建邮件服务器排障：证书链、端口连通、认证日志按顺序确认
- 安全审计：确认没有客户端仍在用 143 明文或可被降级到明文
- 迁移：把 STARTTLS 配置统一改为 993 隐式加密，减少配置错误面
验证握手、证书与能力
验证握手、证书与能力
openssl s_client -connect mail.example.com:993 -servername mail.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
# 993 上连接即 TLS，没有明文问候
openssl s_client -connect mail.example.com:993 -crlf -quiet
CAPABILITY
LOGOUT客户端设置对照
客户端设置对照
993：安全类型选 SSL/TLS（隐式加密）
143：安全类型选 STARTTLS（连接内升级）
将 993 配成 STARTTLS：客户端等待明文问候而超时，表现为一直验证中
将 143 配成 SSL/TLS：握手即失败，报错信息通常很含糊四个收件端口对照
| 端口 | 加密方式 | 定位 |
|---|---|---|
| 993 | IMAP + 隐式 TLS | 现代客户端默认 |
| 143 | IMAP + STARTTLS | 兼容旧客户端 |
| 995 | POP3 + 隐式 TLS | 下载式收件 |
| 110 | POP3 + STARTTLS | 历史兼容 |
服务端排查顺序：openssl 握手是否成功，再看客户端日志中的认证错误，最后看服务端认证日志；证书链问题通常报证书不受信任或主机名不匹配，先带 -servername 复验一次再下结论。
客户端在证书异常时可能静默继续连接或提示用户忽略：这类配置让加密失去身份保证，等于把邮箱口令暴露给任意中间人，应在客户端策略里禁止跳过校验。
加固要点
- 证书使用可信签发链并保持自动续期，避免到期后所有客户端同时报错
- 启用登录失败限速与异常来源封禁，防撞库与口令猜测
- 对高价值邮箱强制双因素认证，减少撞库成功后的影响面
- 禁用明文收件入口或将其重定向，避免出现降级通道