IT
Inizia gratis
Fiducia, maturità e governance per le imprese

Fatti verificabili per CIO, CISO e revisori di compliance

Posta e groupware sono al centro dell'infrastruttura aziendale. Ecco la nostra documentazione senza filtri su cronologia delle release, gestione delle vulnerabilità secondo RFC 9116, deposito del codice sorgente (escrow), limiti di conformità GoBD/IDW PS 880 e benchmark riproducibili.

Cronologia delle release (v1.0.0) Manuale di amministrazione & best practice Divulgazione di sicurezza (RFC 9116) Deposito del codice sorgente (escrow) Stato GoBD & IDW PS 880 SHA256SUMS.txt
Cadenza di sviluppo verificabile

Cronologia delle release e changelog pubblico

Ogni release supera suite automatizzate di integrazione per protocolli, crittografia e più motori (SQLite WAL, PostgreSQL® & Microsoft® SQL Server®) e viene fornita con digest SHA-256 verificabili.

nextxch 1.0.0 · Prima versione ufficiale

1.0.0 · 03.11.2026

Livelli di licenza: Free fino a 6 caselle di posta, gratuito per sempre, Business da 7 caselle di posta, Enterprise da 15 caselle di posta con i protocolli Microsoft su richiesta; prova Enterprise di 30 giorni su richiesta. Condizioni di licenza (EULA) versione 2.3.

  • Protocolli: ESMTP in streaming (BDAT/CHUNKING, SNI STARTTLS), IMAP4rev2, POP3, ManageSieve, JMAP con push e file (FileNode), CalDAV/CardDAV con sincronizzazione differenziale, MTA-STS e DANE, vero dual stack IPv6 con consegna Happy Eyeballs. Enterprise: ActiveSync® (da 12.1 a 16.1, push), EWS, MAPI over HTTP e Autodiscover.
  • Webmail: PWA con calendario (mese, settimana, giorno, agenda), inviti, serie con eccezioni, assistente di pianificazione con disponibilità, sale, pagine di prenotazione e riunioni Teams; contatti con foto e tutti i campi, note e attività; S/MIME e OpenPGP, condivisione con invia come e invia per conto di, visualizzazione di sorgente e intestazioni, verifica e segnalazione di phishing, layout della posta commutabile.
  • Admin: barra laterale con 8 aree e ricerca, editor per account, domini, alias e liste, rinomina del dominio, link diretti, log di protocollo con visualizzatore in tempo reale, statistiche su 30 giorni, message trace, pannello SpamGuard e ClamAV, tester MX, STARTTLS e DANE, verifica esterna di porte e PTR, cambio del nome host senza riavvio, firme obbligatorie, invito tramite link, QR o WhatsApp e aggiornamento in 1 clic con verifica SHA-256.
  • Sicurezza: Argon2id, 2FA, passkey, password per app, OIDC, SSO Kerberos (da Business) e server OAuth 2.1 proprio (XOAUTH2, OAUTHBEARER, codice dispositivo); doppio DKIM (Ed25519 e RSA), SPF/DKIM/DMARC su ogni messaggio in entrata, euristiche anti-phishing, cronologia degli accessi, sessioni con disconnessione per dispositivo, paesi degli IP, sblocco self-service, Web Key Directory, CSP e HSTS.
  • Conformità: archivio GoBD con S3 Object Lock (COMPLIANCE) e avviso in caso di Object Lock mancante, generatore della documentazione procedurale GoBD, ricerca full-text su MIME, PDF, ZUGFeRD/XRechnung e OCR con radici tedesche, umlaut, parole composte e correzione dei refusi, report DMARC e TLS-RPT, Encrypted File Share.
  • Cluster ed esercizio: SQLite WAL, PostgreSQL® 18 active-active senza Redis e Microsoft® SQL Server® (da 2019 a 2025, Express, Azure® SQL); failover DNS integrato (Hetzner, Cloudflare), nome EHLO per nodo, errori temporanei (SMTP 4xx) in caso di guasto dello storage, Let's Encrypt, /metrics per Prometheus; pacchetti come .msi per Windows®, .deb, .tar.gz per Linux® e macOS®, immagine OCI multi-architettura e chart Helm.
  • Integrazione: API v1 per calendario, sale, prenotazioni, contatti, directory e condivisione con chiavi API con ambito o OAuth 2.0, webhook firmati e OpenAPI 3.1; API di invio transazionale con IP warming e limiti per provider, Reputation Shield opzionale, route smarthost; nextxch-cli, configurazione come file (GitOps), condizioni IA nelle regole Sieve (da Business), SCIM 2.0; migrazione da Exchange® 2013 a 2019, importazione PST e hMailServer.
  • Lingue: Webmail, admin, e-mail di sistema e sito web in 10 lingue, incluso l'arabo da destra a sinistra; scelta del fuso orario con una mappa del mondo.

Divulgazione delle vulnerabilità & tempi di patch (RFC 9116)

/.well-known/security.txt · security@nextxch.com

  • Contatto diretto con il team di sicurezza: le segnalazioni inviate a security@nextxch.com arrivano direttamente al core engineering di iqmeta GmbH.
  • Triage tecnico & obiettivi di patch: il nostro obiettivo tecnico è una presa in carico umana in < 24 ore, con release di hotfix per problemi critici (CVSS v4.0 >= 9.0) in < 48 ore e di gravità alta (CVSS 7.0–8.9) in < 7 giorni di calendario. SLA di supporto contrattualmente vincolanti sono inclusi a partire da 10.000 caselle di posta in licenza.
  • Patch sul posto con un solo comando: le release di manutenzione mensili si applicano in modo pulito in pochi secondi tramite install.sh --update, la procedura guidata di aggiornamento .msi per Windows® o tag di container fissati.
  • Safe Harbor: la ricerca sulla sicurezza condotta in buona fede nell'ambito della Coordinated Vulnerability Disclosure gode del pieno Safe Harbor legale da parte di iqmeta GmbH.

Escrow del codice sorgente & garanzia di continuità

Protezione da vendor lock-in & rischio di insolvenza

  • Deposito contrattuale del software in Germania: su richiesta, iqmeta GmbH deposita l'intero albero dei sorgenti e le toolchain di build riproducibili (.sln, WiX .msi, packager Linux®, schemi SQL) presso un agente di escrow tedesco indipendente.
  • Condizioni SLA & escrow (da 10.000 caselle di posta): incluse su richiesta come allegato al contratto Enterprise insieme al nostro SLA Enterprise vincolante a partire da 10.000 caselle di posta (più le commissioni dell'agente di escrow esterno), oppure disponibili come addendum facoltativo nei livelli 1–4.
  • Nessun kill switch & formati di dati aperti: i servizi SMTP, IMAP, JMAP e CalDAV/CardDAV esistenti non si fermano mai, anche se i nostri server di licenza non sono raggiungibili, e tutti i dati risiedono in PostgreSQL®/SQLite standard e in record RFC .eml, .ics e .vcf.
Trasparenza sulla conformità fiscale & di audit (GoBD tedesche)

Controlli GoBD, documentazione procedurale & stato IDW PS 880 trasparente

Una compliance credibile richiede precisione: secondo il diritto tributario tedesco (BMF GoBD), la conformità si ottiene congiuntamente tramite controlli tecnici di immutabilità nel software e una documentazione procedurale specifica dell'organizzazione.

1. Controlli tecnici di immutabilità

Conservazione nel formato originale dei messaggi MIME in entrata/uscita e dell'XML ZUGFeRD EN 16931 incorporato, concatenazione crittografica degli hash SHA-256, S3 Object Lock (COMPLIANCE) o WORM su file system, Legal Hold e un ruolo ComplianceAuditor che non modifica i dati.

2. Generatore integrato della documentazione delle procedure

Dalla v1.1.0 l'Admin Cockpit esporta un modello precompilato di documentazione tecnica delle procedure GoBD (.md secondo GoBD Rz. 151 ss.) che riflette i vostri domini attivi, i periodi di conservazione, il backend WORM e gli account dei revisori.

3. Stato IDW PS 880 trasparente

Alla v1.0.0 non è ancora stato rilasciato un certificato di revisione esterna secondo IDW PS 880, attualmente in preparazione presso iqmeta GmbH. La nostra matrice dei controlli tecnici è disponibile su richiesta per i team di compliance.

Percorso di valutazione Enterprise consigliato

Perché incoraggiamo attivamente test pilota metodici

nextxch è una piattaforma moderna del 2026 sviluppata da iqmeta GmbH a Waldenbuch, vicino a Stoccarda (Registro delle imprese HRB 748338 · P. IVA DE 294776335 · assicurazione di responsabilità IT tramite exali). Verificate ogni affermazione sul vostro hardware:

Passo 1: deployment gratuito su dominio di test

Installi Free (fino a 6 caselle di posta, gratuito per sempre) o richieda una prova Enterprise di 30 giorni con tutte le funzionalità per un dominio di staging. Verifichi personalmente ESMTP, JMAP, Webmail, CalDAV/CardDAV ed esegua run-benchmark.sh.

Passo 2: sincronizzazione parallela non distruttiva

Replica le caselle di posta attive da hMailServer, Exchange® o Dovecot in modalità delta IMAP TLS in sola lettura, senza toccare i record MX di produzione.

Passaggio 3: passaggio controllato in produzione

Passaggio dei record MX con pacchetti v1.0.0 fissati, documentazione delle procedure GoBD esportata, conservazione S3 WORM e supporto tecnico diretto dalla Germania (SLA contrattuale da 10.000 caselle di posta).

FAQ su governance, audit & sicurezza

nextxch dispone di un certificato di audit IDW PS 880?

Alla versione v1.0.0 (novembre 2026), la certificazione formale di terze parti IDW PS 880 è in preparazione e non ancora rilasciata. Sul piano tecnico, nextxch implementa controlli completi di immutabilità GoBD (conservazione del MIME originale & dell'XML ZUGFeRD, concatenazione di hash SHA-256, S3 Object Lock WORM, Legal Hold, ruolo ComplianceAuditor senza permessi di modifica) e include un generatore integrato per la documentazione procedurale obbligatoria (GoBD Rz. 151 e segg.).

Sono disponibili il deposito del codice sorgente (escrow) e uno SLA Enterprise vincolante?

Sì. iqmeta GmbH offre uno SLA Enterprise vincolante e un deposito contrattuale (escrow) del codice sorgente e della pipeline di build riproducibile in Germania. Entrambi sono inclusi senza costi di licenza aggiuntivi a partire da 10.000 caselle di posta con licenza; al di sotto di tale soglia il deposito del codice sorgente (escrow) è disponibile anche come addendum opzionale a pagamento. Inoltre nextxch non contiene alcun kill switch: il traffico di posta e CalDAV/CardDAV esistente prosegue a tempo indeterminato anche se i nostri server di licenza non sono raggiungibili.

Come vengono gestite e corrette le vulnerabilità di sicurezza?

Le segnalazioni inviate a security@nextxch.com (pubblicato tramite RFC 9116 /.well-known/security.txt) ricevono un triage umano entro 24 ore. Le vulnerabilità critiche (CVSS >= 9.0) ricevono un hotfix entro 48 ore; quelle di gravità alta (CVSS 7.0–8.9) entro 7 giorni di calendario. Ogni pacchetto viene pubblicato con checksum SHA-256 verificabili.

Come possiamo verificare i benchmark pubblicati di RAM e throughput?

Scarichi ed esegua il nostro benchmark harness aperto (/downloads/run-benchmark.sh) sulla propria VM o sul proprio server bare-metal. Registra i metadati di CPU/kernel, misura con esattezza la memoria VmRSS da /proc a riposo e dopo il carico, esegue recapiti ESMTP paralleli con payload XML ZUGFeRD e riporta la latenza di ricerca p50/p95/p99.

L'interfaccia WBXML Mobile Push è affiliata a Microsoft® o concessa in licenza da Microsoft®?

No. nextxch è un'implementazione clean-room indipendente al 100%, sviluppata da iqmeta GmbH. L'interfaccia facoltativa WBXML Mobile Push (configurabile tramite ActiveSync:Enabled) implementa specifiche di interoperabilità pubblicamente documentate ([MS-ASHTTP]/[MS-ASCMD]/[MS-ASWBXML]) esclusivamente ai fini dell'interoperabilità con i client. nextxch non è affiliato né approvato, concesso in licenza o certificato da Microsoft®, Apple® o Google®.

Richieda una prova Enterprise & la matrice dei controlli Scarica lo script di benchmark aperto (run-benchmark.sh) Leggi il confronto equo tra sistemi