"530 5.7.0 Must issue a STARTTLS command first" (e "451 5.7.3 STARTTLS is required"): come risolvere

Cosa significa

La tua app, il tuo sito, la tua stampante o il tuo server di posta ha provato a inviare un'email senza prima cifrare la connessione, e il server ha rifiutato. Il messaggio di solito è simile a questo:

530 5.7.0 Must issue a STARTTLS command first

Microsoft 365 (Exchange Online) scrive un errore simile:

451 5.7.3 STARTTLS is required to send mail

STARTTLS è il comando che trasforma una normale connessione email in una connessione cifrata (TLS). La maggior parte dei server che accettano email da utenti e applicazioni, e sempre più server in generale, si rifiuta di continuare finché non è stato eseguito. Senza di esso, la tua password e il tuo messaggio viaggerebbero in chiaro.

Perché succede

• TLS è disattivato nelle impostazioni di invio: "Crittografia: nessuna", "Usa SSL/TLS: No" o un'opzione simile.
• Porta sbagliata. La porta e l'impostazione di sicurezza non corrispondono (vedi sotto).
• Dispositivo o software vecchio. Stampanti, scanner, sistemi di allarme, vecchi plugin di CMS e vecchie librerie possono conoscere solo versioni vecchie di TLS, che i server recenti non accettano più, oppure non supportare affatto STARTTLS.
• Il tuo server di posta invia a un altro server che richiede TLS, mentre dal tuo lato TLS è disattivato o configurato male.
• Qualcosa nel mezzo, come alcuni firewall o antivirus, toglie l'offerta STARTTLS dalla connessione.

Le tre porte, in parole semplici

• Porta 587: per app e utenti che inviano tramite il proprio provider. Connessione in chiaro, poi STARTTLS, poi accesso. Scegli "STARTTLS" o "TLS" nelle impostazioni.
• Porta 465: stesso uso, ma cifrata fin dal primo istante (spesso chiamata "SSL" o "TLS implicito" nelle impostazioni). Scegli "SSL/TLS".
• Porta 25: per i server che parlano con altri server. Di norma le app non dovrebbero usarla per inviare tramite un provider, e molti provider internet e cloud la bloccano.

Un errore comune è scegliere la porta 465 con "STARTTLS", o la porta 587 con "SSL". La connessione allora fallisce o ripiega sul testo in chiaro.

Come verificare

1. Leggi le tue impostazioni di invio: nome del server, porta, opzione di crittografia e credenziali di accesso.
2. Prova il server da riga di comando:

   openssl s_client -starttls smtp -connect smtp.example.com:587

   Se vedi un certificato e una risposta 250, il server supporta STARTTLS su quella porta.
3. Fai un test Delivmail. Quando la tua app riesce di nuovo a inviare, invia un'email all'indirizzo unico nella home page (/). Il report conferma che l'email è arrivata, mostra l'IP e il server di invio e controlla SPF, DKIM e DMARC per quell'app.

Come risolvere

1. Attiva la crittografia nella tua app, plugin o dispositivo: seleziona "STARTTLS" (o "TLS") con la porta 587, oppure "SSL/TLS" con la porta 465.
2. Usa il nome esatto del server fornito dal tuo provider (per esempio smtp.office365.com per Microsoft 365), così il certificato corrisponde.
3. Aggiorna il software vecchio. Aggiorna il firmware della stampante, il plugin del CMS o la libreria. Se il dispositivo non supporta un TLS moderno, invia tramite un piccolo relay che lo supporti, oppure usa un'opzione di scansione verso cartella.
4. Sul tuo server di posta, attiva TLS in uscita. In Postfix imposta smtp_tls_security_level = may e assicurati che sia installata una versione recente di OpenSSL.
5. Controlla firewall e antivirus che analizzano la posta: disattiva la loro ispezione SMTP se interrompe STARTTLS.

Nota su Microsoft 365

Microsoft 365 richiede anche che l'accesso (SMTP AUTH) sia consentito per la casella, e accetta solo versioni recenti di TLS. Se TLS è attivo e l'invio fallisce ancora, verifica nell'interfaccia di amministrazione che SMTP AUTH sia abilitato per quell'account.

Verifica che sia risolto

Invia un test dall'app o dal dispositivo, poi un test Delivmail all'indirizzo della home page. Se arriva e il report è a posto, invia di nuovo le email che erano fallite. Se la tua app mostra un errore di certificato, ricontrolla il nome del server e la porta.