Эта страница регулярно обновляется и отражает текущую поддержку TLS и шифров в Gmail.
Шифры – это алгоритмы, которые помогают защищать сетевые подключения, использующие протокол TLS. Шифры обычно бывают трех типов:
- Алгоритм обмена ключами. При его использовании двум устройствам предоставляется ключ. Ключ шифрует и расшифровывает сообщения, отправляемые между двумя устройствами.
- Алгоритм массового шифрования. Шифрует данные, которые отправляются через подключение TLS.
- Алгоритм MAC. Проверяет, что отправленные данные не изменяются при передаче.
Также существуют шифры, которые включают подписи и выполняют аутентификацию серверов или клиентов. Подробнее о Gmail и подключениях по протоколу TLS…
Поддержка TLS 1.0, 1.1, 3DES и других менее защищенных подключений по протоколу TLS
С мая 2025 года Gmail больше не поддерживает шифр Triple Data Encryption Standard (3DES) для входящих подключений. Для исходящих подключений 3DES поддерживается и дальше.
В Gmail всегда используются самые новые и наиболее защищенные версии TLS из всех доступных. Но если более защищенные версии TLS не поддерживаются или недоступны, для обеспечения совместимости доставка по протоколу SMTP в Gmail поддерживает менее защищенные версии TLS. Менее безопасные версии TLS, поддерживаемые Gmail, включают TLS 1.0, TLS 1.1 и 3DES (только для исходящих сообщений).
Чтобы злоумышленники не могли принудительно использовать менее безопасные версии TLS, согласование подключений всегда шифруется.
При необходимости в консоли администратора Google можно добавить настройку "Соответствие содержания", чтобы отклонять сообщения из подключений, в которых не используется протокол TLS версии 1.2 или выше. Пошаговые инструкции приведены ниже.
Шифры для согласования TLS
SMTP-серверы Google принимают шифры для согласования протокола Transport Layer Security (TLS).
Согласование TLS также называют рукопожатием TLS. Во время рукопожатия взаимодействующие стороны распознают и проверяют друг друга, а затем решают, какие шифры и ключи сеанса будут использоваться.
Список шифров для согласования TLS был обновлен в мае 2025 года.
TLS 1.3
TLS_AES_128_GCM_SHA256
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256
TLS 1.2
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS 1.1 и TLS 1.0
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
Шифры серверов исходящей почты
Ниже перечислены шифры, которым отдают предпочтение серверы исходящей почты Gmail.
Gmail сообщает серверу-получателю, что поддерживает TLS версий 1.3, 1.2, 1.1 и 1.0. Затем сервер получателя определяет, какая версия TLS используется для подключения.
Google не поддерживает SSLv3.
Этот список шифров серверов исходящей почты был обновлен в апреле 2020 года.
TLS_AES_128_GCM_SHA256;
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256;
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
Как настроить отклонение подключений, менее защищенных, чем TLS 1.2
Чтобы настроить для SMTP-подключений Gmail использование TLS версии 1.2 или более защищенной, выполните указанные ниже действия. При добавлении этой настройки количество входящих сообщений, отклоненных и не доставленных получателям, увеличится. Больше информации о настройке "Соответствие содержания" можно найти в статье Как задать правила для расширенной фильтрации контента электронных писем.
-
В консоли администратора Google нажмите на значок меню
Приложения
Google Workspace
Gmail
Соблюдение нормативных требований.У вас должны быть права администратора с доступом к настройкам Gmail.
- При необходимости выберите организацию в левой части страницы.
- В разделе "Соблюдение нормативных требований" прокрутите страницу до параметра Соответствие содержания, наведите на него указатель и нажмите Настроить. Если он уже настроен, нажмите Изменить или Добавить.
В окне Добавление настроек выполните следующие шаги:
Параметр Что вам нужно сделать В разделе Соответствие содержания Введите описание настройки, например Всегда использовать TLS 1.2.
Типы сообщений Выберите Входящие сообщения и Внутренние входящие сообщения. Добавьте выражение для отклонения подключений по протоколу TLS 1.0 - Под таблицей Выражения нажмите Добавить. Откроется окно Добавление настроек.
- Вверху этого окна откройте меню, нажав на значок
, и выберите Соответствие по расширенному содержанию. В раскрывающемся списке Местоположение выберите Полные заголовки. - В раскрывающемся списке Тип соответствия выберите Соответствует регулярному выражению. Откроются параметры регулярных выражений.
- В поле Регулярное выражение введите следующий код:
^Received:.*\(version=TLS1 cipher= - В поле Описание регулярного выражения введите понятное название, например Соответствие TLS 1.0.
- Поле Наименьшее количество совпадений оставьте пустым.
- В нижней части окна Добавление настроек нажмите Сохранить. Новое выражение появится в таблице Выражения.
Если указанные выше выражения совпадают, выполнить следующие действия Это действие применяется при совпадении с одним из приведенных выше выражений.
- Выберите Отклонить сообщение.
- В поле Уведомление об отклонении введите текст сообщения, которое отправители получат, если их сообщение будет отклонено, например: Этот сервер требует использования TLS версии 1.1 или выше.
Показать параметры - Чтобы посмотреть дополнительные параметры, нажмите Показать параметры.
- В разделе B. Типы аккаунтов выберите Пользователи и Нераспознанные/для приема всей почты домена.
В нижней части окна Добавление настроек нажмите Сохранить. Изменения вступают в силу в течение 24 часов (обычно быстрее). Подробнее… Изменения можно отслеживать в журнале аудита в консоли администратора.
Как проверять письма, отправленные по подключениям с использованием 3DES
С мая 2025 года Gmail не поддерживает 3DES для входящих подключений по протоколу SMTP. Отправители, использующие 3DES, не могут доставлять письма в аккаунты Gmail.
Чтобы определить, на кого из отправителей в организации и на какой почтовый трафик влияет DES, рекомендуем настроить экспорт служебных журналов в BigQuery. Создайте отчет BigQuery, в котором будет указано, какие шифры TLS используются для защищенных подключений к SMTP-серверам. Шифры TLS, используемые для электронной почты, можно посмотреть в поле message_info.connection_info.smtp_tls_cipher. Если используется шифр 3DES, будет указано значение DES-CBC3-SHA. Хотя в значении отсутствует 3DES, оно означает шифр 3DES.