MacOS Sierra下Postfix遇530 5.7.0错误：需先执行STARTTLS命令

我之前在MacOS Sierra上配置Postfix对接Gmail时，碰到过完全一样的问题——系统新增了/etc/ssl/certs目录但空无一物，导致TLS配置卡壳。下面给你几个经过验证的解决方案：

方案一：直接使用系统自带的完整CA证书链 #

MacOS Sierra已经维护了一份包含所有可信根CA的证书文件，路径是/etc/ssl/cert.pem。你不需要手动填充/etc/ssl/certs，直接在Postfix的main.cf里配置：

# 替换原有的smtp_tls_CAfile配置（如果有的话）
smtp_tls_CAfile = /etc/ssl/cert.pem
# 确保客户端侧TLS启用（发送邮件到Gmail需要这个，而非smtpd_use_tls）
smtp_use_tls = yes

配置完成后重启Postfix生效：

sudo postfix reload

方案二：手动填充/etc/ssl/certs目录（可选） #

如果你坚持要使用/etc/ssl/certs目录，可以通过系统的security命令导出所有系统根证书到该目录：

# 创建目录（如果还没存在的话）
sudo mkdir -p /etc/ssl/certs
# 导出系统钥匙串里的根证书
sudo security find-certificate -a -p /Library/Keychains/System.keychain > /etc/ssl/certs/ca-certificates.crt
sudo security find-certificate -a -p /System/Library/Keychains/SystemRootCertificates.keychain >> /etc/ssl/certs/ca-certificates.crt

然后在main.cf里指向这个生成的文件：

smtp_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
smtp_use_tls = yes

同样执行sudo postfix reload重启服务。

关键配置提醒：别混淆smtp和smtpd参数 #

你提到的smtpd_use_tls=yes是配置本地Postfix作为邮件服务器接收邮件时的TLS开关，而发送邮件到Gmail属于Postfix作为客户端的行为，需要启用的是smtp_use_tls = yes——这很可能是你之前配置的误区，导致TLS没正确生效。

测试验证 #

配置完成后，可以用telnet测试TLS是否正常工作：

telnet smtp.gmail.com 587

连接成功后输入EHLO localhost，如果返回内容里包含250 STARTTLS，再输入STARTTLS，如果收到220 2.0.0 Ready to start TLS的响应，说明TLS配置已经正常。

另外补充：如果你的Gmail账号开启了两步验证，需要使用应用专用密码代替常规密码在Postfix的smtp_sasl_password_maps里配置，否则会出现认证失败的问题。

内容的提问来源于stack exchange，提问作者Dick Guertin