Security Alert: แก้ Outlook เด้งเตือนใบรับรองความปลอดภัย

Security Alert คือหน้าต่างเตือนที่ classic Outlook for Windows เด้งขึ้นเมื่อใบรับรอง SSL ของเซิร์ฟเวอร์อีเมลมีปัญหา บรรทัดที่พบบ่อยที่สุดคือ The name on the security certificate is invalid or does not match the name of the site ตามด้วยคำถาม Do you want to proceed? และปุ่ม Yes, No, View Certificate สาเหตุที่พบบ่อยที่สุดคือชื่อเซิร์ฟเวอร์ IMAP, POP หรือ SMTP ที่ใส่ใน Outlook ไม่ตรงกับชื่อในใบรับรอง หรือ Outlook ไปถาม Autodiscover ที่เว็บไซต์ของบริษัทซึ่งใช้ใบรับรองคนละชื่อ วิธีที่แก้ได้ถาวรคือเปลี่ยนชื่อเซิร์ฟเวอร์ใน Outlook ให้ตรงกับชื่อที่ใบรับรองออกให้ หรือแก้ระเบียน autodiscover ให้ชี้ถูกที่

คู่มือนี้สำหรับผู้ใช้และผู้ดูแลอีเมลบริษัทแบบ IMAP และ POP รวมถึงผู้ใช้ Microsoft 365 ที่เจอ Security Alert ตอนเปิด Outlook การกด Yes ทำให้หน้าต่างหายไปชั่วคราวแต่จะกลับมาอีก และถ้าไม่ได้ตรวจก่อน อาจเป็นการส่งรหัสผ่านให้เซิร์ฟเวอร์ที่ไม่ใช่ของจริง เมื่อทำครบ คุณจะรู้ว่าใบรับรองผิดที่ชื่อ วันหมดอายุ หรือผู้ออก และแก้ให้ Security Alert ไม่กลับมา

สิ่งที่ต้องเตรียม

• ภาพหน้าจอ Security Alert ทั้งหน้าต่าง โดยเฉพาะชื่อเซิร์ฟเวอร์ที่แสดงด้านบน และบรรทัดที่มีไอคอนเตือนสีเหลืองหรือสีแดง
• รู้ว่าใช้ Outlook แบบไหน: classic Outlook มีเมนู File ส่วน new Outlook for Windows มีสวิตช์ New Outlook และไอคอนเฟืองมุมขวาบน ขั้นตอนแก้ชื่อเซิร์ฟเวอร์ต่างกัน
• ค่าเซิร์ฟเวอร์จากผู้ให้บริการอีเมล: ชื่อเซิร์ฟเวอร์ขาเข้าและขาออก พอร์ต และการเข้ารหัส ตัวอย่างในคู่มือนี้ใช้ mail.example.com ให้ใช้ชื่อเซิร์ฟเวอร์และพอร์ตที่ผู้ให้บริการอีเมลให้มาจริง
• ถ้าเป็นผู้ดูแล: สิทธิ์แก้ DNS ของโดเมน และช่องทางติดต่อผู้ให้บริการเว็บโฮสติ้ง

สาเหตุของ Security Alert ใน Outlook

หน้าต่าง Security Alert มีสามบรรทัด แต่ละบรรทัดตรวจคนละเรื่อง บรรทัดที่มีไอคอนเตือนคือต้นเหตุ

• ชื่อไม่ตรง (The name on the security certificate is invalid or does not match the name of the site): ชื่อที่ Outlook ใช้ต่อไม่อยู่ในใบรับรอง เช่น ใส่ชื่อ mail.example.com แต่ใบรับรองออกให้ชื่อเครื่องของผู้ให้บริการ ใส่เป็นเลข IP หรือ Outlook ไปถาม Autodiscover ที่ example.com ซึ่งเป็นเว็บไซต์
• วันที่ไม่ถูกต้อง (The security certificate has expired or is not yet valid): ใบรับรองของเซิร์ฟเวอร์หมดอายุ หรือนาฬิกาเครื่องผู้ใช้ผิด
• ผู้ออกไม่น่าเชื่อถือ: ใบรับรองเป็นแบบ self-signed ออกโดย CA ภายในองค์กรที่เครื่องไม่รู้จัก หรือถูกโปรแกรมแอนตี้ไวรัสหรือ firewall ที่ตรวจทราฟฟิก SSL ใส่ใบรับรองของตัวเองแทน

สำหรับบัญชี Microsoft 365 ที่ตั้งค่าถูกต้อง Outlook ต่อ Exchange Online ซึ่งมีใบรับรองถูกต้องเสมอ ถ้า Security Alert ขึ้นกับบัญชี Microsoft 365 มักเป็นเรื่อง Autodiscover ไปเจอเว็บไซต์ของบริษัท หรือการตรวจ SSL ของ firewall

ขั้นตอนที่ 1: อ่านชื่อเซิร์ฟเวอร์และดูใบรับรอง

เมื่อ Security Alert ขึ้น อย่าเพิ่งกด Yes ให้กด View Certificate ก่อน แล้วดูค่าต่อไปนี้

1. แท็บ General: Issued to คือชื่อที่ใบรับรองออกให้ Issued by คือผู้ออก และ Valid from คือช่วงวันที่ใช้ได้
2. แท็บ Details: คลิก Subject Alternative Name เพื่อดูรายชื่อทั้งหมดที่ใบรับรองครอบคลุม
3. เทียบกับชื่อเซิร์ฟเวอร์ที่แสดงด้านบนของ Security Alert ถ้าชื่อนั้นไม่อยู่ในรายการ แปลว่าชื่อไม่ตรงและเป็นต้นเหตุของ Security Alert

จดผลไว้ เพราะใช้ตัดสินว่าจะไปขั้นไหนต่อ ถ้าชื่อด้านบนเป็นชื่อเซิร์ฟเวอร์อีเมล ให้ไปขั้นตอนที่ 3 ถ้าเป็นโดเมนหลักของบริษัท เช่น example.com หรือ autodiscover.example.com ให้ไปขั้นตอนที่ 5 ถ้า Issued by เป็นชื่อโปรแกรมแอนตี้ไวรัสหรือ firewall ให้ไปขั้นตอนที่ 6 จากนั้นกด No จนกว่าจะตรวจเสร็จ

ขั้นตอนที่ 2: ตรวจวันที่และเวลาของเครื่อง

ถ้าบรรทัดที่เตือนเป็นเรื่องวันหมดอายุ แต่ใบรับรองยังอยู่ในช่วง Valid from และ to ให้ตรวจนาฬิกาเครื่องก่อน เครื่องที่ถ่านไบออสหมดหรือปิด Set time automatically ไว้ มักเห็นใบรับรองที่ยังดีเป็นหมดอายุ

1. ไปที่ Settings > Time & language > Date & time
2. เปิด Set time automatically และ Set time zone automatically หรือเลือกเขตเวลา (UTC+07:00) Bangkok, Hanoi, Jakarta
3. กด Sync now แล้วปิดเปิด Outlook ใหม่

ถ้า Security Alert ไม่ขึ้นอีกหลังปรับนาฬิกา แสดงว่าแก้แล้ว ถ้าใบรับรองหมดอายุจริง (วันที่ Valid to ผ่านไปแล้ว) ผู้ใช้แก้เองไม่ได้ ต้องแจ้งผู้ดูแลหรือผู้ให้บริการอีเมลให้ต่ออายุใบรับรองบนเซิร์ฟเวอร์ ระหว่างนั้นอย่ากด Yes ทุกวันเป็นนิสัย

ขั้นตอนที่ 3: ใช้ชื่อเซิร์ฟเวอร์ที่ตรงกับใบรับรอง

Security Alert กรณีนี้พบมากกับอีเมลบริษัทแบบ IMAP และ POP ผู้ใช้ตั้ง mail.example.com ตามโดเมนของบริษัท แต่ใบรับรองบนเซิร์ฟเวอร์ออกให้ชื่ออื่น ทางแก้คือใช้ชื่อที่อยู่ใน Issued to หรือ Subject Alternative Name ซึ่งต้องเป็นชื่อที่ผู้ให้บริการอีเมลยืนยัน ไม่ใช่เดาเอง

classic Outlook

1. ไปที่ File > Account Settings > Account Settings เลือกบัญชี IMAP หรือ POP แล้วคลิก Change
2. แก้ Incoming mail server และ Outgoing mail server (SMTP) เป็นชื่อที่ใบรับรองครอบคลุม
3. คลิก More Settings แท็บ Advanced ตรวจพอร์ตและการเข้ารหัส เช่น IMAP 993 แบบ SSL/TLS, POP 995 แบบ SSL/TLS, SMTP 465 แบบ SSL/TLS หรือ 587 แบบ STARTTLS ตามที่ผู้ให้บริการกำหนด
4. กด Next ให้ Outlook ทดสอบบัญชี แล้ว Finish

new Outlook for Windows

ถ้าบัญชี IMAP ใน new Outlook ตั้งด้วยชื่อที่ไม่ตรง ทางที่ตรงที่สุดคือลบบัญชีที่ Settings > Accounts > Email accounts แล้วเพิ่มใหม่โดยเลือกตั้งค่าเอง ใส่ชื่อเซิร์ฟเวอร์ที่ถูกต้อง ดูคู่มือตั้งค่า IMAP บน new Outlook

ส่งอีเมลทดสอบถึงตัวเอง ถ้าส่งรับได้และไม่ขึ้น Security Alert แสดงว่าแก้แล้ว ถ้าเปลี่ยนชื่อแล้วขึ้น error เรื่องพอร์ตหรือการเข้ารหัสแทน ดูคู่มือ 0x800CCC1A

$t = New-Object Net.Sockets.TcpClient('mail.example.com', 993)
$s = New-Object Net.Security.SslStream($t.GetStream(), $false, {$true})
$s.AuthenticateAsClient('mail.example.com')
$c = New-Object Security.Cryptography.X509Certificates.X509Certificate2 $s.RemoteCertificate
$c | Format-List Subject, DnsNameList, NotAfter, Issuer
$s.Dispose(); $t.Dispose()

reg add "HKCU\Software\Microsoft\Office\16.0\Outlook\AutoDiscover" /v ExcludeHttpsRootDomain /t REG_DWORD /d 1 /f