STARTTLS
STARTTLS je příkaz SMTP, kterým se nešifrované spojení na portu 25 nebo 587 povýší na šifrované TLS, aby obsah e-mailu i přihlašovací údaje nešly sítí v čitelné podobě.
Spojení začíná jako prostý text, server v odpovědi na EHLO nabídne STARTTLS a klient ho zavolá; poté proběhne TLS handshake a zbytek konverzace je šifrovaný. Mezi servery je STARTTLS oportunistické: když ho protistrana nenabídne, zpráva se obvykle pošle nešifrovaně. Proti aktivnímu útočníkovi, který nabídku odstraní, chrání až MTA-STS a DANE.
Alternativou je implicitní TLS na portu 465 (SMTPS), kde je spojení šifrované od začátku. Pro odesílání z aplikací se dnes doporučuje port 587 se STARTTLS a vyžadovaným šifrováním (v Postfixu smtp_tls_security_level = encrypt, v PHPMailer SMTPSecure = tls).
S: 250-STARTTLS
C: STARTTLS
S: 220 2.0.0 Ready to start TLS
(TLS handshake, dále šifrováno)smtp.topemail.cz na portu 587 STARTTLS vyžaduje: přihlášení bez šifrování relay odmítne.