Capitolo 08 Trasporto posta & difesa Admin: #pOutbound

Outbound Reputation Shield, OutboundGuard, limiti ESMTP & Fail2Ban

Ogni mail server esposto su Internet affronta due minacce: bot esterni di credential stuffing e il danneggiamento della reputazione IP/dominio in uscita (causato da hard bounce ripetuti, reclami per spam, intestazioni di disiscrizione RFC 8058 mancanti o account compromessi). nextxch combina le principali protezioni di deliverability degli ESP transazionali leader - 100% facoltative e attivabili singolarmente.

Suggerimento operativo & nota sull'architettura

In Outbound Reputation & Quotas (#pOutbound) è possibile passare con 1 clic tra Off (predefinito), Recommended o Strict (Bulk), oppure attivare selettivamente singoli moduli. Con il dominio sandbox integrato a traffico zero *.sink.nextxch.local (ok@, bounce@, defer@, complaint@) è possibile testare in sicurezza bounce, webhook e soppressioni senza generare traffico esterno. Per requisiti più elevati è possibile anteporre anche un mail gateway, vedere il capitolo 09: /docs/mail-gateway/.

Reputation Shield, override TLS & Fail2Ban tramite Cockpit o CLI

Ogni protezione può essere gestita live nel Cockpit (#pOutbound) oppure in modo dichiarativo tramite nextxch-cli.

Riferimento / configurazione

# Reputation Shield per CLI abfragen oder als Preset aktivieren (0 ms Hot-Reload):
nextxch-cli get ReputationShield
nextxch-cli update ReputationShield --set preset=recommended

# TLS-Ausnahme für Partner-Domain mit Shared-Hosting-Zertifikats-Mismatch:
nextxch-cli create Route --set domain=neff.me --set tlsMode=StartTlsIgnoreCert --set description="Partner-MX Ausnahme"

# Brute-Force Auto-Ban Schwellenwerte in #pRules feinjustieren:
nextxch-cli update TransportRules --set autoBanThreshold=10 --set autoBanDurationMinutes=30

Impostazioni, valori predefiniti e best practice

Impostazione / posizione	Descrizione	Valore predefinito	Best practice per la produzione
`Suppression List & Auto-Bounce-Sperre (#pOutbound · optional)`	Registra automaticamente gli hard bounce 5xx, i soft bounce 4xx consecutivi e le disiscrizioni, escludendo prima dell'invio i destinatari notoriamente inesistenti, prima di contattare i server MX remoti.	`Optional (Vorlage: Empfohlen)`	Protegge il sender score presso Gmail, Outlook e Yahoo evitando di colpire ripetutamente caselle di posta 550 inesistenti.
`ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional)`	Acquisisce automaticamente i report di abuso ARF in entrata secondo RFC 5965 e inserisce intestazioni One-Click List-Unsubscribe secondo RFC 8058, sovrafirmate con DKIM, con gestione GET/POST sicura rispetto agli scanner.	`Optional (für Bulk Pflicht ab 5.000/Tag)`	Attivare per le categorie marketing e notification: soddisfa i requisiti di Google/Yahoo per i bulk sender, mantenendo le anteprime GET immuni agli scanner di link aziendali.
`24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional)`	Attiva un interruttore automatico quando i tassi di bounce (>5%) o di reclamo (>0,2%) sulle 24 ore mobili aumentano bruscamente e applica pause adattive per dominio in caso di risposte di rate limit 421/451.	`Optional (critical/2FA ausgenommen)`	Mantenere attivo AllowCriticalWhenTripped, così i codici 2FA e i reset delle password continuano a essere inviati anche se un invio di marketing problematico fa scattare il circuit breaker.
`DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional)`	Verifica il vostro IPv4 in uscita su 5 DNSBL principali, invia webhook di bounce/reclamo firmati HMAC-SHA256 al vostro CRM/ERP e simula gli esiti tramite *.sink.nextxch.local.	`sink.nextxch.local aktiv`	Indirizzare i test di staging/CI a ok@, bounce@, defer@ e complaint@sink.nextxch.local per test realistici di bounce & webhook senza alcun traffico internet.
`Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules)`	Blocca gli IP di brute force su SMTP, IMAP, POP3, Webmail, ActiveSync e DAV (8 errori -> ban di 30 min), rallentando gli scanner a dizionario tramite tarpit SMTP (1500 ms).	`Aktiv · 1500 ms Tarpit`	Lasciare attivo, inserire nell'elenco consentiti gli IP statici di uscita di ufficio/VPN in #pRules e mantenere protette le normali caselle di posta personali con i limiti OutboundGuard per account.