fix: mail プロバイダの msmtprc を既定で常に出力 + SMTP メタ項目を拡充

phpfpm の smtp.existingMsmtprcSecret が「references non-existent secret key:
msmtprc」でマウント失敗する件の対処。renderMsmtprc が opt-in で忘れやすかった。

- renderMsmtprc を既定 true に（明示 false のときだけ抑止）
- smtp.tlsVerify（既定 true）を追加。false で msmtprc に tls_certcheck off
  values.schema.json の smtp にも tlsVerify を追加
- 派生キー SMTP_TLS / SMTP_SSL / SMTP_TLS_VERIFY / SMTP_AUTH を Secret に追加
- from 未設定時に msmtprc へ空の from 行を出さないよう修正
- values.yaml / examples / README を更新。0.1.2。

CLAUDE.md

@@ -61,6 +61,30 @@
 
 ## チャート改修履歴
 
+### renderMsmtprc を既定 true 化 + SMTP メタ項目の拡充（2026-09-08, v0.1.2）
+
+**症状**: phpfpm 側で `smtp.existingMsmtprcSecret: cred-<名前>` を指定したら
+`MountVolume.SetUp failed ... references non-existent secret key: msmtprc`。
+配布された `cred-*` Secret に `msmtprc` キーが無かった。
+
+**原因**: `mail.providers.<名前>.renderMsmtprc` が opt-in（既定で出力しない）で、
+`values.yaml` 上もコメント例にしか無かったため、指定を忘れると `msmtprc` キーが
+生成されない。`mail` カテゴリは「完成済み msmtprc も含めて一元管理する」のが目的なので
+opt-out にすべきだった。
+
+**修正内容**（`templates/mail-secrets.yaml`）:
+- `renderMsmtprc` を既定 `true` に（`hasKey` で明示 `false` のときだけ抑止）。
+- `smtp.tlsVerify`（既定 `true`）を追加。`false` で `msmtprc` に `tls_certcheck off` を挿入。
+  `values.schema.json` の `smtp`（`additionalProperties: false`）にも `tlsVerify` を追加。
+- 派生キーを Secret に追加: `SMTP_TLS`（starttls か）/ `SMTP_SSL`（暗黙TLSか）/
+  `SMTP_TLS_VERIFY` / `SMTP_AUTH`（username 有無）。すべて `"true"`/`"false"` の文字列。
+  `smtp.env` にもこれらが入る（msmtprc 生成より前に env を組み立てているため）。
+- `values.yaml` のキー一覧コメント / プロバイダ例、`examples/mail-providers.values.yaml`
+  （`tlsVerify: false` の社内リレー例を追加）、README を更新。
+
+**対象ファイル**: `templates/mail-secrets.yaml`, `values.schema.json`, `values.yaml`,
+`examples/mail-providers.values.yaml`, `Chart.yaml`, `README.md`, `CLAUDE.md`
+
 ### helm-release.yaml のリリース判定を3系統に分離 + v0.1.0 タグ補完（2026-09-08）
 
 **症状**: Git タグ `v0.1.0` がリモートに存在しなかった（Registry には

Chart.yaml

@@ -4,8 +4,8 @@ description: >-
   クラスター横断で使う認証情報（外部メールのSMTP/IMAP設定・APIキー・汎用資格情報）を
   一元管理し、複数ネームスペースへ同一Secretとして配布するHelmチャート。
 type: application
-version: 0.1.1
+version: 0.1.2
-appVersion: "0.1.1"
+appVersion: "0.1.2"
 keywords:
   - secrets
   - credentials

README.md

@@ -152,9 +152,10 @@ SMTP/IMAP/POP3 のサーバ情報も一元管理** できます。
 | `smtp.fromName` | `string` | | 送信者表示名。 |
 | `smtp.replyTo` | `string` | | Reply-To アドレス。 |
 | `smtp.authMethod` | `string` | | `plain`（既定） / `login` / `cram-md5`。 |
+| `smtp.tlsVerify` | `bool` | | 既定 `true`。`false` で TLS 証明書検証を無効化（社内リレー・自己署名向け。生成される `msmtprc` に `tls_certcheck off` が入る）。 |
 | `imap.host` ほか | | | 受信 (IMAP) 情報。`host` があれば `IMAP_*` キーを追加。`username`/`password` 省略時は SMTP の値を流用。既定ポート `993`。 |
 | `pop3.host` ほか | | | 受信 (POP3) 情報。同上。既定ポート `995`。 |
-| `renderMsmtprc` | `bool` | | `true` で Secret に `msmtprc`（msmtp / PHP sendmail 用設定）を含める。 |
+| `renderMsmtprc` | `bool` | | **既定 `true`**。Secret に完成済み `msmtprc`（msmtp / PHP sendmail 用）を含める。IMAP だけ使う等で不要なら `false`。 |
 | `namespacesOverride` | `[]string` | | このエントリだけ別のネームスペースへ配布する。 |
 | `annotations` | `map` | | このエントリの Secret だけに付ける追加アノテーション。 |
 
@@ -192,8 +193,12 @@ SMTP/IMAP/POP3 のサーバ情報も一元管理** できます。
 SMTP_HOST=smtp.gmail.com
 SMTP_PORT=587
 SMTP_SECURITY=starttls
+SMTP_TLS=true                     # security=starttls のとき true（派生フラグ）
+SMTP_SSL=false                    # security=tls（暗黙TLS）のとき true
+SMTP_TLS_VERIFY=true              # smtp.tlsVerify の値
 SMTP_USERNAME=no-reply@example.com
 SMTP_PASSWORD=********
+SMTP_AUTH=true                    # username があれば true
 SMTP_FROM=no-reply@example.com
 SMTP_FROM_NAME=Example
 SMTP_REPLY_TO=
@@ -203,11 +208,10 @@ IMAP_PORT=993
 IMAP_SECURITY=tls
 IMAP_USERNAME=no-reply@example.com
 IMAP_PASSWORD=********
-smtp.env                          # ↓ source して使える env ファイル
+smtp.env                          # ↑ 全キーを `export KEY="value"` にした source 可能なファイル
     export SMTP_HOST="smtp.gmail.com"
-    export SMTP_PORT="587"
     ...
-msmtprc                           # renderMsmtprc: true のとき。msmtp / PHP sendmail 用
+msmtprc                           # 完成済み msmtp 設定（既定で常に含む。renderMsmtprc: false で抑止）
 ```
 
 ### api / generic エントリ
@@ -351,6 +355,16 @@ Secret 更新時に自動でローリング再起動されます。
 
 各リリースの詳細は `CLAUDE.md` の「チャート改修履歴」を参照。
 
+### v0.1.2（2026-09-08）
+
+- **`renderMsmtprc` の既定を `true` に変更**。`mail.providers.<名前>` を定義すれば
+  `msmtprc` キーが常に生成されるようになった（従来は明示 `true` が必要で、忘れると
+  phpfpm 等の `smtp.existingMsmtprcSecret` が `references non-existent secret key: msmtprc`
+  でマウント失敗した）。不要なら `renderMsmtprc: false`。
+- `smtp.tlsVerify`（既定 `true`）を追加。`false` で `msmtprc` に `tls_certcheck off` を出力。
+- 派生キー `SMTP_TLS` / `SMTP_SSL` / `SMTP_TLS_VERIFY` / `SMTP_AUTH` を Secret に追加
+  （フレームワーク側が 3 値 enum を解釈しなくて済むよう真偽値文字列で提供）。
+
 ### v0.1.1（2026-09-08）
 
 - `values.schema.json` の `$schema` 行を削除。新しめの JSON Schema バリデータを内蔵する

examples/mail-providers.values.yaml

@@ -41,7 +41,7 @@ mail:
         host: "imap.gmail.com"
         port: 993
         security: "tls"
-      renderMsmtprc: true
+      renderMsmtprc: true      # 既定値なので本来は省略可
 
     # ---- Microsoft 365 / Exchange Online ---------------------------------
     m365:
@@ -58,7 +58,7 @@ mail:
         host: "outlook.office365.com"
         port: 993
         security: "tls"
-      renderMsmtprc: true
+      renderMsmtprc: true      # 既定値なので本来は省略可
 
     # ---- SendGrid -------------------------------------------------------
     # username は固定文字列 "apikey"、password が API キー本体。
@@ -73,7 +73,7 @@ mail:
         from: "no-reply@your-domain.com"
         fromName: "Your Service"
         authMethod: "plain"
-      renderMsmtprc: true
+      renderMsmtprc: true      # 既定値なので本来は省略可
 
     # ---- Amazon SES ---------------------------------------------------
     # SES SMTP 認証情報（IAM のアクセスキーとは別物）を使う。リージョンをホスト名に反映。
@@ -87,7 +87,7 @@ mail:
         password: "REPLACE_VIA_--set"
         from: "no-reply@your-domain.com"
         authMethod: "login"
-      renderMsmtprc: true
+      renderMsmtprc: true      # 既定値なので本来は省略可
 
     # ---- Mailgun -----------------------------------------------------
     mailgun:
@@ -100,7 +100,7 @@ mail:
         password: "REPLACE_VIA_--set"
         from: "no-reply@your-domain.com"
         authMethod: "plain"
-      renderMsmtprc: true
+      renderMsmtprc: true      # 既定値なので本来は省略可
 
     # ---- 汎用 / 社内 SMTP リレー（認証なし・TLSなし）--------------------
     internal-relay:
@@ -110,4 +110,15 @@ mail:
         port: 25
         security: "none"
         from: "no-reply@your-domain.com"
-      renderMsmtprc: true
+
+    # ---- 社内 SMTP（自己署名証明書。STARTTLS だが証明書検証はしない）------
+    internal-tls-relay:
+      enabled: false
+      smtp:
+        host: "mail.internal.example"
+        port: 587
+        security: "starttls"
+        username: "app"
+        password: "REPLACE_VIA_--set"
+        from: "no-reply@your-domain.com"
+        tlsVerify: false       # 自己署名のため証明書検証を無効化（msmtprc に tls_certcheck off）

templates/mail-secrets.yaml

@@ -13,12 +13,22 @@ mail.providers.<name> ごとに 1 つの Secret を生成し、配布先ネー
 {{- $username := $smtp.username | default "" }}
 {{- $password := $smtp.password | default "" }}
 {{- $from := $smtp.from | default $username }}
+{{- /* tlsVerify は既定 true。明示 false で証明書検証を無効化（社内リレー等） */ -}}
+{{- $tlsVerify := true }}
+{{- if hasKey $smtp "tlsVerify" }}{{- $tlsVerify = $smtp.tlsVerify }}{{- end }}
+{{- /* renderMsmtprc は既定 true。明示 false で msmtprc キーを出力しない */ -}}
+{{- $renderMsmtprc := true }}
+{{- if hasKey $p "renderMsmtprc" }}{{- $renderMsmtprc = $p.renderMsmtprc }}{{- end }}
 {{- $sd := dict }}
 {{- $_ := set $sd "SMTP_HOST"        (printf "%v" $smtp.host) }}
 {{- $_ := set $sd "SMTP_PORT"        (printf "%v" ($smtp.port | default 587)) }}
 {{- $_ := set $sd "SMTP_SECURITY"    (printf "%v" $security) }}
+{{- $_ := set $sd "SMTP_TLS"         (ternary "true" "false" (eq $security "starttls")) }}
+{{- $_ := set $sd "SMTP_SSL"         (ternary "true" "false" (eq $security "tls")) }}
+{{- $_ := set $sd "SMTP_TLS_VERIFY"  (ternary "true" "false" $tlsVerify) }}
 {{- $_ := set $sd "SMTP_USERNAME"    (printf "%v" $username) }}
 {{- $_ := set $sd "SMTP_PASSWORD"    (printf "%v" $password) }}
+{{- $_ := set $sd "SMTP_AUTH"        (ternary "true" "false" (ne $username "")) }}
 {{- $_ := set $sd "SMTP_FROM"        (printf "%v" $from) }}
 {{- $_ := set $sd "SMTP_FROM_NAME"   (printf "%v" ($smtp.fromName | default "")) }}
 {{- $_ := set $sd "SMTP_REPLY_TO"    (printf "%v" ($smtp.replyTo | default "")) }}
@@ -41,21 +51,25 @@ mail.providers.<name> ごとに 1 つの Secret を生成し、配布先ネー
 {{- $_ := set $sd "POP3_USERNAME" (printf "%v" ($pop3.username | default $username)) }}
 {{- $_ := set $sd "POP3_PASSWORD" (printf "%v" ($pop3.password | default $password)) }}
 {{- end }}
-{{- /* source 可能な env ファイル */ -}}
+{{- /* source 可能な env ファイル（msmtprc 追加より前に生成する） */ -}}
 {{- $lines := list }}
 {{- range $k, $v := $sd }}
 {{- $lines = append $lines (printf "export %s=%s" $k (quote $v)) }}
 {{- end }}
 {{- $_ := set $sd "smtp.env" (printf "%s\n" (join "\n" (sortAlpha $lines))) }}
-{{- /* msmtprc スニペット（任意） */ -}}
+{{- /* msmtprc スニペット（既定で含む。renderMsmtprc: false で抑止） */ -}}
-{{- if $p.renderMsmtprc }}
+{{- if $renderMsmtprc }}
 {{- $tls := "tls on" }}
 {{- $starttls := "tls_starttls on" }}
 {{- if eq $security "tls" }}{{- $starttls = "tls_starttls off" }}{{- end }}
 {{- if eq $security "none" }}{{- $tls = "tls off" }}{{- $starttls = "tls_starttls off" }}{{- end }}
+{{- $certcheck := "" }}
+{{- if not $tlsVerify }}{{- $certcheck = "tls_certcheck off\n" }}{{- end }}
 {{- $auth := "auth off" }}
 {{- if $username }}{{- $auth = printf "auth on\nuser %s\npassword %s" $username $password }}{{- end }}
-{{- $msmtprc := printf "# secret-manager が生成 (%s)\ndefaults\n%s\n%s\ntls_trust_file /etc/ssl/certs/ca-certificates.crt\nlogfile -\naccount default\nhost %s\nport %v\nfrom %s\n%s\n" $name $tls $starttls $smtp.host ($smtp.port | default 587) $from $auth }}
+{{- $fromLine := "" }}
+{{- if $from }}{{- $fromLine = printf "from %s\n" $from }}{{- end }}
+{{- $msmtprc := printf "# secret-manager が生成 (%s)\ndefaults\n%s\n%s\n%stls_trust_file /etc/ssl/certs/ca-certificates.crt\nlogfile -\naccount default\nhost %s\nport %v\n%s%s\n" $name $tls $starttls $certcheck $smtp.host ($smtp.port | default 587) $fromLine $auth }}
 {{- $_ := set $sd "msmtprc" $msmtprc }}
 {{- end }}
 {{- include "secret-manager.secret" (dict "ctx" $ "name" $name "stringData" $sd "type" "Opaque" "annotations" ($p.annotations | default dict) "namespacesOverride" ($p.namespacesOverride | default list)) }}

values.schema.json

@@ -74,7 +74,8 @@
                   "from": { "type": "string" },
                   "fromName": { "type": "string" },
                   "replyTo": { "type": "string" },
-                  "authMethod": { "type": "string", "enum": ["plain", "login", "cram-md5"] }
+                  "authMethod": { "type": "string", "enum": ["plain", "login", "cram-md5"] },
+                  "tlsVerify": { "type": "boolean" }
                 }
               },
               "imap": {

values.yaml

@@ -65,20 +65,28 @@ common:
 # mail: 外部メールの接続情報（パスワード + サーバ情報）
 # --------------------------------------------------------------------------
 # providers.<キー> ごとに 1 つの Secret を生成する。Secret には以下が入る:
-#   個別キー:
+#   個別キー（送信 SMTP）:
-#     SMTP_HOST / SMTP_PORT / SMTP_SECURITY / SMTP_USERNAME / SMTP_PASSWORD
+#     SMTP_HOST / SMTP_PORT / SMTP_SECURITY (none|starttls|tls)
+#     SMTP_TLS  ... "true" if starttls        （フレームワーク互換の派生フラグ）
+#     SMTP_SSL  ... "true" if 暗黙TLS(tls)     （同上）
+#     SMTP_TLS_VERIFY ... 証明書検証 "true"/"false"
+#     SMTP_USERNAME / SMTP_PASSWORD / SMTP_AUTH ("true" if username あり)
 #     SMTP_FROM / SMTP_FROM_NAME / SMTP_REPLY_TO / SMTP_AUTH_METHOD
+#   個別キー（受信・任意）:
 #     IMAP_HOST / IMAP_PORT / IMAP_SECURITY / IMAP_USERNAME / IMAP_PASSWORD  (imap 定義時)
 #     POP3_HOST / POP3_PORT / POP3_SECURITY / POP3_USERNAME / POP3_PASSWORD  (pop3 定義時)
 #   まとめ:
 #     smtp.env    ... `export KEY=VALUE` 形式。コンテナ内で `source` して利用可能
-#     msmtprc     ... msmtp / PHP sendmail 用設定（renderMsmtprc: true のとき）
+#     msmtprc     ... msmtp / PHP sendmail 用の完成済み設定ファイル
+#                     ★ 既定で常に含まれる。抑止したい場合のみ renderMsmtprc: false
 #
 # 代表的なプロバイダの設定値は examples/ および README.md の一覧表を参照。
 mail:
   providers: {}
   #  gmail:
   #    enabled: true
+  #    # msmtprc キーを出力するか（既定 true）。IMAP だけ使いたい等で不要なら false
+  #    renderMsmtprc: true
   #    smtp:
   #      host: "smtp.gmail.com"
   #      port: 587
@@ -89,6 +97,7 @@ mail:
   #      fromName: "Example"
   #      replyTo: ""
   #      authMethod: "plain"         # plain | login | cram-md5
+  #      tlsVerify: true             # false で証明書検証を無効化（社内リレー等）
   #    imap:
   #      host: "imap.gmail.com"
   #      port: 993
@@ -99,7 +108,6 @@ mail:
   #    #   host: "pop.gmail.com"
   #    #   port: 995
   #    #   security: "tls"
-  #    renderMsmtprc: true
   #    # このプロバイダだけ別ネームスペースへ配る場合（省略時は distribution 準拠）
   #    namespacesOverride: []
   #    # このプロバイダ Secret だけに付ける追加アノテーション