#pOutbound
Outbound Reputation Shield وOutboundGuard وحدود ESMTP وFail2Ban
يواجه كل خادم بريد متصل بالإنترنت تهديدين: روبوتات حشو بيانات الاعتماد (Credential Stuffing) الخارجية، والإضرار بسمعة عنوان IP/النطاق الصادر (بسبب الارتدادات الدائمة المتكررة، أو شكاوى البريد العشوائي، أو غياب ترويسات إلغاء الاشتراك وفق RFC 8058، أو الحسابات المخترقة). ويجمع nextxch ضمانات قابلية التسليم الأساسية لدى كبار مزودي خدمات البريد المعاملاتي (ESPs) - اختيارية بنسبة 100% وقابلة للتبديل كلٌّ على حدة.
ضمن Outbound Reputation & Quotas (#pOutbound)، بدّلوا بنقرة واحدة بين Off (الافتراضي) أو Recommended أو Strict (Bulk) - أو فعّلوا وحدات فردية بشكل انتقائي. وباستخدام نطاق الاختبار المعزول المدمج عديم حركة المرور *.sink.nextxch.local (ok@ وbounce@ وdefer@ وcomplaint@)، يمكنكم اختبار الارتدادات وwebhooks وقوائم الإيقاف بأمان دون إرسال حركة مرور خارجية. ولمتطلبات أعلى، يمكنكم إضافة بوابة بريد في المقدمة، راجعوا الفصل 09: /docs/mail-gateway/.
Reputation Shield وTLS Overrides وFail2Ban عبر لوحة الإدارة أو CLI
يمكن إدارة كل إجراء حماية مباشرةً في لوحة الإدارة (#pOutbound) أو بشكل تصريحي عبر nextxch-cli.
# Reputation Shield per CLI abfragen oder als Preset aktivieren (0 ms Hot-Reload):
nextxch-cli get ReputationShield
nextxch-cli update ReputationShield --set preset=recommended
# TLS-Ausnahme für Partner-Domain mit Shared-Hosting-Zertifikats-Mismatch:
nextxch-cli create Route --set domain=neff.me --set tlsMode=StartTlsIgnoreCert --set description="Partner-MX Ausnahme"
# Brute-Force Auto-Ban Schwellenwerte in #pRules feinjustieren:
nextxch-cli update TransportRules --set autoBanThreshold=10 --set autoBanDurationMinutes=30الإعدادات والقيم الافتراضية وأفضل الممارسات
| الإعداد / الموقع | الوصف | القيمة الافتراضية | أفضل ممارسة للإنتاج |
|---|---|---|---|
Suppression List & Auto-Bounce-Sperre (#pOutbound · optional) |
يسجّل تلقائيًا الارتدادات الدائمة 5xx، والارتدادات المؤقتة 4xx المتتالية، وطلبات إلغاء الاشتراك، ويستبعد المستلمين المعروفين بعدم صلاحيتهم قبل الإرسال ودون الاتصال بخوادم MX البعيدة. | Optional (Vorlage: Empfohlen) |
يحمي تقييم المرسل لدى Gmail وOutlook وYahoo من خلال عدم الاصطدام المتكرر بصناديق بريد غير موجودة (550). |
ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional) |
يستوعب تلقائيًا تقارير إساءة الاستخدام الواردة بتنسيق ARF وفق RFC 5965، ويُدرج ترويسات One-Click List-Unsubscribe وفق RFC 8058 مشمولة بتوقيع DKIM، مع معالجة GET/POST آمنة من الماسحات. | Optional (für Bulk Pflicht ab 5.000/Tag) |
فعّلوه لفئتَي marketing وnotification: يلبي متطلبات Google/Yahoo للمرسلين بالجملة، مع إبقاء معاينات GET بمنأى عن ماسحات الروابط المؤسسية. |
24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional) |
يفعّل قاطع دائرة تلقائيًا عند ارتفاع معدلات الارتداد (>5%) أو الشكاوى (>0.2%) خلال 24 ساعة متحركة، ويطبق فترات تهدئة تكيفية لكل نطاق عند استجابات تقييد المعدل 421/451. | Optional (critical/2FA ausgenommen) |
أبقوا AllowCriticalWhenTripped مفعّلًا حتى تستمر رموز المصادقة الثنائية (2FA) وعمليات إعادة تعيين كلمة المرور في التدفق حتى لو أدت دفعة تسويقية سيئة إلى فصل قاطع الدائرة. |
DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional) |
يفحص عنوان IPv4 الصادر لديكم مقابل 5 قوائم DNSBL رئيسية، ويرسل webhooks للارتداد/الشكاوى موقّعة بـ HMAC-SHA256 إلى نظام CRM/ERP لديكم، ويحاكي النتائج عبر *.sink.nextxch.local. | sink.nextxch.local aktiv |
وجّهوا اختبارات staging/CI إلى ok@ وbounce@ وdefer@ وcomplaint@sink.nextxch.local لاختبار واقعي للارتدادات & Webhooks دون أي حركة على الإنترنت. |
Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules) |
يحظر عناوين IP التي تشن هجمات القوة الغاشمة عبر SMTP وIMAP وPOP3 وWebmail وActiveSync وDAV (8 إخفاقات -> حظر 30 دقيقة)، بينما يعطّل ماسحات القواميس عبر SMTP tarpit (1500 ms). | Aktiv · 1500 ms Tarpit |
اتركوه نشطًا، وأضيفوا عناوين IP الثابتة للخروج من المكتب/VPN إلى القائمة البيضاء في #pRules، وأبقوا صناديق البريد البشرية العادية محمية بحدود OutboundGuard لكل حساب. |