如何通过Message ID识别Amazon SES中使用旧TLS版本的发送网站？

• 利用Message ID追踪发送方

  • 排查各网站的应用日志，搜索AWS通知里的Message ID。多数应用在调用SES发送邮件后，会将返回的Message ID记录到日志中，通过匹配可定位对应网站。
  • 若应用未记录Message ID，临时修改各网站的SES发送代码，添加日志逻辑：在发送请求完成后，将返回的Message ID、网站标识（如域名）、时间戳写入独立日志文件，后续收到AWS通知时直接匹配即可。

• 服务器层面抓包分析

  • 在服务器上使用tcpdump抓取SES API交互流量，过滤TLS 1.0/1.1的连接（替换为你的SES区域域名）：

    tcpdump -i any host email.us-east-1.amazonaws.com and (tls.version == 0x0301 or tls.version == 0x0302) -w ses_tls_old.pcap
    

  • 分析捕获的数据包，通过请求中的邮件主题、收件人等信息，对应到具体网站的发送行为。

• 逐步排查网站

  • 暂时停止部分网站的SES发送功能，观察AWS的旧TLS版本通知是否停止。若停止某网站后通知不再出现，即可定位目标网站。
  • 逐个网站临时强制指定TLS 1.2发送（在SES SDK配置中明确设置TLS版本），逐一验证是否解决问题。

• 检查依赖库与SDK版本

  • 核查各网站使用的SES SDK版本，旧版本SDK可能默认使用较低TLS版本，升级至最新版确保默认启用TLS 1.2。
  • 检查服务器SSL/TLS库（如OpenSSL）版本，若系统库版本过低会限制应用使用TLS 1.2，需升级对应系统库。

内容的提问来源于stack exchange，提问作者Avrohom Yisroel