nextxch Dokumentation
Übersichtlich gegliedertes Nachschlagewerk für Installation, DNS, Sicherheit, Groupware, CLI-Automatisierung und Betrieb: Jedes Kapitel erklärt kompakt die Funktionsweise, exakte Standardwerte und bewährte Best Practices für den Produktivbetrieb.
Erste Schritte
Vom leeren Windows-, Linux- oder Docker-Host bis zur Firewall-Port-Matrix.
Geführte Installation (8 Schritte)
Interaktive Vorab-Checkliste, Windows (.msi), Linux (systemd) & Docker inklusive Symptom-Troubleshooting.
Architektur & Port-Matrix
nextxch bündelt ESMTP, IMAP4rev2, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA und GoBD-Archivierung in einem einzigen nativen...
Netzwerk, DNS & Kryptografie
10/10 Zustellbarkeit mit FCrDNS/PTR, Dual-DKIM, IPv6, pfSense & Let's Encrypt DANE.
DNS (10/10), PTR & Autodiscover
Große Provider wie Gmail, Microsoft 365, t-online und GMX/Web.de bewerten die Zustellbarkeit maßgeblich anhand konsistenter DNS-Einträge. Im Bereic...
Dual-Stack IPv6 & Happy-Eyeballs
Ab Version 1.2.4 arbeiten sämtliche TCP-Listener (ESMTP 25/465/587, IMAP 143/993 und ManageSieve 4190) sowie Kestrel standardmäßig im echten Dual-S...
pfSense, OPNsense & SSL-Gateways
In vielen Unternehmensnetzen laufen Webserver und nextxch in getrennten VLANs oder VMs hinter derselben Firewall (z. B. pfSense, OPNsense, Sophos)...
Let's Encrypt, MTA-STS, DANE & BIMI
nextxch verwaltet TLS-Zertifikate vollautomatisch über Let's Encrypt ACME v2 und lädt erneuerte Zertifikate ohne Verbindungsabbruch (0 ms SNI Hot-R...
Mail-Transport & Abwehr
SMTP-Queue, Live-MX-Tester, SpamGuard ML, Greylisting, ClamAV & Fail2Ban.
SMTP-Queue, Smart-Host & MX-Tester
Die ausgehende Zustell-Engine löst MX-Records parallel auf, prüft MTA-STS sowie DANE-TLSA-Einträge, unterstützt opportunistisches STARTTLS gemäß RF...
SpamGuard, Greylisting & ClamAV
Die mehrstufige Eingangs-Pipeline kombiniert Protokoll-Vorprüfungen (SPF, DKIM, DMARC, FCrDNS, DNSBL, Smart Greylisting) mit struktureller MIME-Heu...
Reputation Shield, ESMTP-Limits & Fail2Ban
Zwei Gefahren bedrohen jeden Mailserver im Internet: Brute-Force-Angriffe von außen und eine beschädigte IP-/Domain-Reputation nach innen (z. B. du...
Clients, Groupware & CLI
WhatsApp-sicheres iPhone-Setup, Outlook-Style Kalender & Kontakte, API-Keys & CLI.
iPhone-, Smartphone- & WhatsApp-Setup
Neue Mitarbeiter sollen ihr Postfach samt Kalender, Kontakten und Notizen in unter 30 Sekunden einrichten können, ohne Servernamen, Ports oder ihr...
Webmail, Kalender (CalDAV) & Kontakte
Im Gegensatz zu reinen Protokoll-Backends bringt nextxch eine schnelle, offline-fähige Webmail-PWA (/mail/) inklusive vollwertigem Outlook-Style Ka...
nextxch-cli: Befehle, Filter & IaC
Mit nextxch-cli steuerst du Domains, Postfächer, Verteilerlisten, Aliase, Scoped API-Keys, ausgehende SMTP-Routen (inkl. TLS-Ausnahmen), IP-Warming...
API & CLI Objekt-Schema (Alle Felder)
Dieses Nachschlagewerk dokumentiert jedes einzelne JSON-Feld, jeden Datentyp, alle Enum-Werte, Standardwerte und Mindest-Rollen (RBAC) für sämtlich...
API-Keys, Sende-API & SSO
Shops, Ticketsysteme, ERP-Lösungen und CI/CD-Pipelines sollten niemals das persönliche Passwort eines Mitarbeiters mitbenutzen. Unter API-Keys, SSO...
Compliance, Storage & Betrieb
Nachrichtenverfolgung, GoBD-WORM-Archiv, SQLite / SQL Server / PostgreSQL 18 & Updates.
Message Trace & GoBD-WORM-Archiv
Wenn ein Kunde anruft ('Meine Rechnung kam nicht an!'), zählt jede Sekunde. Die Nachrichtenverfolgung (#pMessageTrace) zeigt dir sofort mit Zeitste...
Datenbanken, Cluster & Updates
nextxch trennt strukturierte Metadaten und Volltext-Indizes sauber von deduplizierten, Zstandard-komprimierten Roh-Nachrichten (-62 % Speicherbedar...
Kurzreferenz: Die 5 eingehenden Pflicht-Ports
Zusätzlich muss ausgehender TCP-Port 25 für die direkte MX-Zustellung ins Internet geöffnet sein.
TCP 25ESMTP MX Empfang & VersandTCP 443HTTPS: Webmail, Admin, DAV, PushTCP 465SMTPS Client-Versand (TLS)TCP 587Submission (STARTTLS)TCP 993IMAPS Postfach & IDLE PushHäufige Fragen aus der Admin-Praxis
Welche Ports müssen in der Firewall zwingend für nextxch geöffnet sein?
Für den vollständigen E-Mail-, Webmail-, Mobile-Push- und Groupware-Betrieb sind genau 5 eingehende TCP-Ports erforderlich: 25 (ESMTP MX Empfang), 443 (HTTPS für Webmail, Admin, JMAP, CalDAV/CardDAV & Mobile Push), 465 (SMTPS Einlieferung), 587 (Submission STARTTLS) und 993 (IMAPS). Optional kommen Port 80 (Let's Encrypt HTTP-01), 143 (IMAP STARTTLS) und 4190 (ManageSieve) hinzu. Zusätzlich muss ausgehender TCP-Port 25 ins Internet frei sein.
Warum meldet ein externer Port-Checker hinter einer pfSense oder einem SSL-Gateway manchmal Timeout?
Wenn Webserver und Mailserver im selben Netz hinter einer gemeinsamen Firewall (z. B. pfSense, OPNsense oder Sophos) liegen und ein Dienst die öffentliche WAN-IP prüft, verwirft die Firewall Pakete ohne aktives NAT-Reflection (Hairpin-NAT). Ab v1.2.4 erkennt nextxch dieses Gateway-Szenario automatisch per Split-Path-Probe und zeigt den echten Portstatus an. Best Practice im eigenen LAN sind Split-DNS (Host-Overrides) oder Pure-NAT-Reflection.
Wie versende ich ein iPhone- oder Smartphone-Einrichtungsprofil sicher per WhatsApp oder Teams?
Über Konten & Verteiler -> Smartphone einrichten im Admin-Cockpit (oder in den Webmail-Einstellungen) erzeugt nextxch einen geschützten 24-Stunden-Einladungslink (/onboarding/setup/{token}) samt isoliertem Geräte-App-Passwort. Vorschau-Crawler von WhatsApp, Signal, Telegram oder Teams verbrauchen den Token nicht; öffnet der Empfänger den Link im In-App-Browser, führt ein Hinweisbanner direkt in Safari zum 1-Klick-Profil-Download.
Welche SpamGuard-Schwellenwerte sind für den Produktivbetrieb empfohlen?
Der Standardwert von 4,5 Punkten für die Junk-Zustellung (JunkThreshold) und 9,0 Punkten für die direkte SMTP-Ablehnung (RejectThreshold) kombiniert mit Smart Greylisting (240 s auf /24- bzw. /64-Netzpräfix) hat sich im Unternehmensalltag bewährt: Seriöse Erstsender bestehen den kurzen Retry automatisch, während Botnetze abgewiesen werden, ohne wichtige Geschäftspost unbemerkt zu löschen.
Welche Datenbank-Engine sollte ich wählen: SQLite WAL, Microsoft SQL Server oder PostgreSQL 18?
Bis etwa 250 aktive Postfächer auf einem einzelnen Server ist SQLite WAL ohne jeglichen Pflegeaufwand extrem schnell. In Windows-Umgebungen mit vorhandenem Microsoft SQL Server (2019-2025, Express oder Azure SQL) integriert sich nextxch nativ inklusive Cluster-Locks. Für Linux-basierte Active-Active-Cluster und sehr große Installationen ist PostgreSQL 18 mit LISTEN/NOTIFY ideal.