GCP Composer Airflow用AWS SES SMTP出现SSL: WRONG_VERSION_NUMBER错误如何解决

错误根因 #

你遇到的SSL: WRONG_VERSION_NUMBER错误由SMTP加密配置和端口不匹配导致：
AWS SES的587端口为STARTTLS模式，需要先建立普通TCP连接再升级为TLS加密；而你的配置同时开启了smtp_ssl = True和smtp_starttls = True，会让Airflow直接以SSL协议发起连接，和SES端口的加密逻辑冲突，导致SSL握手时版本协商失败。

解决步骤 #

• 方案1（推荐，使用SES标准STARTTLS端口）
  修改Airflow SMTP配置覆写，将smtp_ssl设置为False，其余参数保持不变即可：

secrets
    backend airflow.providers.google.cloud.secrets.secret_manager.CloudSecretManagerBackend

smtp
    smtp_port 587
    smtp_mail_from ...
    smtp_host email-smtp.us-west-1.amazonaws.com
    smtp_starttls True
    smtp_password_secret smtp-password
    smtp_ssl False
    smtp_user ...
email
    email_backend airflow.utils.email.send_email_smtp

• 方案2（使用SSL直连端口）
  如果要保持smtp_ssl = True配置，需要同步修改端口为SES的SSL专用端口465，同时关闭STARTTLS：

smtp
    smtp_port 465
    smtp_mail_from ...
    smtp_host email-smtp.us-west-1.amazonaws.com
    smtp_starttls False
    smtp_password_secret smtp-password
    smtp_ssl True
    smtp_user ...

修改配置后提交GCP Composer环境更新，等待环境重载完成后即可测试邮件发送。

可选排查项 #

如果修改配置后仍有问题，可检查以下项：

• AWS SES侧的发件人邮箱/域名是否已经完成验证，若SES仍处于沙盒环境，收件人地址也需要提前验证
• GCP Composer环境所在VPC的出口防火墙规则是否允许访问AWS SES对应区域的587/465端口
• GCP Secret Manager中存储的smtp-password值为正确的SES SMTP凭证，且Composer环境的服务账号已被授予该Secret的Secret Manager Secret Accessor权限

内容的提问来源于stack exchange，提问作者Jinyu