pop3s 是什么
995 是 POP3 over TLS 的端口，属于隐式加密形态：连接建立后先完成 TLS 握手，再开始邮件协议对话。它的语义与 110 上的 STARTTLS 不同——不是先明文再升级，因此不存在被降级绕过的明文阶段。POP3 的工作方式是把邮件下载到本地，默认还会在服务器上删除，这一点与 IMAP 的“服务器保留并多端同步”有本质区别。
基本信息
| 服务 | pop3s（POP3 over TLS） |
|---|---|
| 协议 | TCP 995 |
| 对照端口 | 110 POP3 + STLS 升级 |
| 适用场景 | 单设备下载式收件、历史客户端 |
| 安全等级 | 可对公网开放，需有效证书与口令策略 |
典型使用场景
- 单机收件：老客户端或专用设备只支持 POP3
- 归档与导出：把邮箱内容批量取到本地留存
- 排障：验证握手、证书与账号权限是否正常
- 替换评估：多设备场景迁移到 IMAP 以保持状态一致
- 安全审计：确认是否仍保留明文 110 入口
验证握手与基本命令
验证握手与基本命令
openssl s_client -connect mail.example.com:995 -servername mail.example.com -crlf -quiet
CAPA
STAT
QUIT
openssl s_client -connect mail.example.com:995 -servername mail.example.com </dev/null 2>/dev/null | openssl x509 -noout -dates服务端只保留加密入口
服务端只保留加密入口
# /etc/dovecot/conf.d/10-master.conf
service pop3-login {
inet_listener pop3 {
port = 0 # 关闭明文 110
}
inet_listener pop3s {
port = 995 # 保留 995
}
}995 与 110 的关系
| 端口 | 加密模式 | 建议 |
|---|---|---|
| 995/tcp | 连接即 TLS（隐式） | 客户端安全类型选 SSL/TLS |
| 110/tcp | 明文，可用 STLS 升级 | 现代部署建议关闭 |
| 993/tcp | IMAP 隐式 TLS | 多设备同步优先 |
| 143/tcp | IMAP + STARTTLS | 兼容旧客户端 |
多设备场景的风险很具体：POP3 默认把邮件取到本地并在服务器端清理，手机先收走的邮件在电脑上就看不到了；仍需使用时，让客户端勾选服务器保留副本，并确认邮箱配额足够。
证书异常时不要引导用户“忽略警告继续”：这会一并忽略身份校验，把加密通道交给中间人；正确的处理是修复证书链与主机名匹配问题。
运维建议
- 关闭明文 110，统一走 995 或 IMAP 加密端口
- 证书保持自动续期，避免到期后集中报错
- 启用登录失败限速，抑制口令猜测
- 定期核对账号清单，清理闲置邮箱
巡检与加固要点
- 确认明文收件入口是否已按策略关闭
- 证书续期纳入监控，避免到期造成集中故障
- 登录失败次数与异常来源纳入告警
- 账号清单与离职人员定期核对
客户端配置提示：安全类型一栏选错是最常见原因——隐式加密端口要选 SSL/TLS，明文端口才选 STARTTLS，选错时的报错信息通常都很含糊。