Documentation nextxch
Manuel de référence clairement organisé couvrant l'installation, le DNS, la sécurité, le groupware, l'automatisation CLI et l'exploitation : chaque guide ciblé documente les valeurs par défaut exactes et les bonnes pratiques de production.
Prise en main
D'un hôte Windows, Linux ou Docker vierge jusqu'à la matrice des ports du périmètre.
Installation guidée (8 étapes)
Liste de contrôle interactive avant installation, tutoriels Windows (.msi), Linux (systemd) & Docker, ainsi que dépannage par symptôme.
Architecture & matrice des ports
nextxch réunit ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA et l'archivage GoBD WORM dans une seule plateforme nati...
Réseau, DNS & cryptographie
Délivrabilité 10/10 avec FCrDNS/PTR, Dual-DKIM, IPv6, pfSense & Let's Encrypt DANE.
DNS (10/10), PTR & Autodiscover
Les grands destinataires comme Gmail, Microsoft 365 et Deutsche Telekom évaluent la réputation de l'expéditeur en grande partie sur l'alignement DNS. Sous TLS & DNS Advisor (#p...
IPv6 Dual-Stack & Happy Eyeballs
Tous les écouteurs de protocole (ESMTP 25/465/587, IMAP 143/993, ManageSieve 4190) et Kestrel fonctionnent en mode double pile natif ([::] avec DualMode = true). Un...
pfSense, OPNsense & passerelles SSL
De nombreux déploiements en entreprise exploitent leur serveur web et nextxch dans des VLAN internes derrière un pare-feu périmétrique commun (pfSense, OPNsense, Sophos) ou un...
Let's Encrypt, MTA-STS, DANE & BIMI
nextxch automatise l'émission et le renouvellement des certificats X.509 via Let's Encrypt ACME v2, avec remplacement à chaud des certificats renouvelés en 0 ms sur HTTPS, SMTPS,...
Transport & défense de la messagerie
File d'attente SMTP, diagnostics MX en direct, SpamGuard ML, greylisting, ClamAV, Fail2Ban & passerelle de messagerie en amont.
File d'attente SMTP, smart host & testeur MX
Le moteur de remise sortante résout les enregistrements MX, applique les politiques MTA-STS et DANE TLSA, prend en charge le STARTTLS opportuniste RFC 7435 pour les hôtes mutualisés...
SpamGuard, greylisting & ClamAV
La défense entrante de nextxch combine des contrôles au niveau du protocole (SPF, DKIM, DMARC, FCrDNS, DNSBL, greylisting intelligent) avec des heuristiques MIME, un FTRL en ligne...
IA dans les règles Sieve
Les règles de boîte de réception et le Sieve système peuvent interroger un modèle de langage, puis déplacer, marquer ou transférer selon la réponse. Deux formes : une question libre oui/non...
Reputation Shield, limites ESMTP & Fail2Ban
Tout serveur de messagerie exposé à internet fait face à deux menaces : les bots externes de credential stuffing et la dégradation de la réputation IP/domaine sortante (causée par des...
Proxmox Mail Gateway en amont
Une passerelle de messagerie en amont accepte tout le courrier provenant d'internet, le vérifie avec un second moteur antispam et antivirus indépendant et ne transmet que le c...
Milters & hooks MTA
Les filtres existants se branchent directement sur le dialogue SMTP : les milters utilisent le protocole milter de Sendmail version 6 (Rspamd via son proxy milter, ClamA...
Clients, groupware & CLI
Configuration iPhone compatible messageries, Outlook pour Windows, calendrier & contacts du Webmail, clés API & CLI.
Configuration iPhone, mobile & WhatsApp
Les utilisateurs doivent pouvoir configurer Mail, Calendrier, Contacts et Notes sur iOS et macOS en moins de 30 secondes, sans saisir de ports ni exposer leur m...
Webmail, calendrier (CalDAV) & contacts
Contrairement aux backends de messagerie limités aux protocoles, nextxch est livré avec une PWA Webmail rapide et installable (/mail/), dotée d'un calendrier groupware complet (mois, semaine, j...
Configurer Outlook pour Windows
Microsoft Outlook pour Windows se connecte à nextxch via IMAP (entrant) et SMTP (sortant). Cela s'applique à Outlook classique (Microsoft 365 Apps, Out...
nextxch-cli : commandes, requêtes & IaC
Avec nextxch-cli, vous gérez les domaines, boîtes aux lettres, listes de distribution, alias, clés API à portée limitée, routes SMTP sortantes (y compris dérogations TLS), le préchauffage d'IP...
Configuration as code (GitOps)
L'état complet du serveur sous forme de fichiers YAML dans Git : locataires, domaines (sélecteurs DKIM, MTA-STS, routage), boîtes aux lettres avec alias, transfert et abs...
Schéma des objets API & CLI (tous les champs)
Cette référence documente chaque propriété JSON, type de données, valeur d'énumération, valeur par défaut et rôle RBAC minimal pour les 12 objets de gestion (/api/...
Clés API, Send API & SSO
Les applications web, outils de ticketing, systèmes ERP et pipelines CI/CD ne doivent jamais partager les mots de passe de boîtes aux lettres d'utilisateurs. Sous Clés API, SSO & règles (#pApiAuth), mi...
LDAP, AD, Entra ID & SSO
Sous Admin > Sources d'identité, vous connectez un locataire ou des domaines individuels à Active Directory ou LDAP (connexion par bind, synchronisation des utilisateurs, groupes imbriqués et...
SSO Kerberos (connexion Windows)
Avec Kerberos, les PC Windows du réseau de l'entreprise se connectent sans demande de mot de passe : webmail et admin via SPNEGO ("Se connecter avec Windows"), Out...
OAuth pour Thunderbird, Outlook & CLI
nextxch est son propre serveur d'autorisation OAuth 2.1 : les applications de messagerie se connectent dans le navigateur via la connexion habituelle au webmail (y compris 2FA et clés d'accès),...
Conformité, stockage & exploitation
Message Trace, archive GoBD WORM, SQLite / SQL Server / PostgreSQL 18 & mises à jour.
Traçage des messages & archive GoBD WORM
Lorsqu'un client demande 'Où est notre facture ?', il vous faut une réponse factuelle immédiate. Message Trace (#pMessageTrace) enregistre les horodatages exacts, les I...
Moteurs de stockage, cluster & mises à jour
nextxch sépare proprement les métadonnées structurées et les index plein texte des blobs MIME dédupliqués par SHA-256 et compressés en Zstandard (-62 % d'empreinte disque...
Tableau de bord d'exploitation & alertes
Le tableau de bord d'exploitation (#pOps) affiche en direct et sur un historique de 24 heures : e-mails par minute entrants et sortants, courrier différé et rejeté, taux de spam, échecs de sig...
Référence rapide : les 5 ports entrants requis
De plus, le port TCP 25 sortant doit être ouvert vers internet pour la remise MX directe.
TCP 25ESMTP MX entrant & sortantTCP 443HTTPS : Webmail, administration, DAV, pushTCP 465Soumission client SMTPS (TLS)TCP 587Soumission (STARTTLS)TCP 993Boîte aux lettres IMAPS & push IDLEQuestions fréquentes sur l'exploitation
Quels ports de pare-feu sont strictement nécessaires à nextxch ?
Le fonctionnement complet de la messagerie, de la PWA Webmail, du Mobile Push et de CalDAV/CardDAV requiert 5 ports TCP entrants : 25 (ESMTP MX entrant), 443 (HTTPS pour Webmail, Admin, JMAP, CalDAV/CardDAV & Mobile Push), 465 (SMTPS TLS implicite), 587 (Submission STARTTLS) et 993 (IMAPS). Les ports optionnels sont 80 (Let's Encrypt HTTP-01), 143 (IMAP STARTTLS), 4190 (ManageSieve) et 995 (POP3S) / 110 (POP3 STLS) si POP3 est activé, ainsi que le port TCP 25 sortant vers Internet.
Pourquoi une vérification de port externe peut-elle expirer lorsque les deux serveurs se trouvent derrière la même passerelle pfSense ou SSL ?
Lorsqu'un serveur web et un serveur de messagerie partagent un pare-feu (par ex. pfSense, OPNsense ou HAProxy) sans Hairpin NAT (NAT Reflection), les paquets adressés depuis l'intérieur de la passerelle à votre propre IP WAN publique sont rejetés. Depuis la v1.2.4, nextxch détecte automatiquement les topologies de passerelle partagée par sondage à chemins séparés. Pour les clients LAN, il est recommandé de configurer des substitutions d'hôtes Split-DNS ou la Pure NAT Reflection.
Comment partager en toute sécurité un profil de configuration iPhone ou smartphone via WhatsApp ou Microsoft Teams ?
Sous Comptes & listes -> Configuration de l'appareil dans /admin/ (ou dans les paramètres du Webmail), nextxch génère un lien de page de configuration valable 24 heures (/onboarding/setup/{token}) adossé à un mot de passe d'application dédié par appareil. Les robots d'aperçu de WhatsApp, Teams, Telegram ou Slack ne consomment jamais le jeton, et les WebViews intégrées aux applications affichent une invite claire de passage à Safari afin qu'iOS installe proprement le profil .mobileconfig signé.
Quels sont les seuils SpamGuard recommandés en production ?
Conservez JunkThreshold à 4.5 (classe le courrier suspect dans Courrier indésirable) et RejectThreshold à 9.0 (rejet SMTP 550 ferme pour le spam manifeste), associés au greylisting intelligent (240 secondes sur les préfixes IPv4 /24 et IPv6 /64). Les MTA légitimes passent automatiquement le greylisting lors de la nouvelle tentative et sont mis en cache pendant 30 jours, ce qui évite les pertes de données dues aux faux positifs.
Quel moteur de base de données choisir : SQLite WAL, Microsoft SQL Server ou PostgreSQL 18 ?
Jusqu'à environ 250 boîtes aux lettres actives sur un seul hôte, SQLite WAL intégré offre des lectures en moins d'une milliseconde sans aucune maintenance de DBA. Les environnements Windows disposant déjà de Microsoft SQL Server (2019-2025, Express ou Azure SQL) bénéficient d'emblée du clustering multi-nœuds natif et de la recherche, tandis que les clusters Linux haute disponibilité profitent de PostgreSQL 18 LISTEN/NOTIFY.