nextxch Archive: Microsoft 365, Exchange, Google Workspace und IMAP ins GoBD-Archiv

# 1. Admin > Compliance > Archiv-Quellen > Neue Quelle, Art "SMTP-Journal"
#    Domains der Altumgebung: firma.de · Journal-Domain: archiv.firma.de
#    -> Journal-Adresse z. B. journal-k3x9q2m7v1c8b4n6z5ta@archiv.firma.de (kopieren)
# 2. Schutz: IP-Bereiche der Exchange-Online-Server, TLS erforderlich, erlaubte Envelope-Absender
# 3. Microsoft Purview: Lösungen > Datenlebenszyklusverwaltung > Exchange (Legacy) > Journalregeln
#    oder Exchange Online PowerShell:
Set-TransportConfig -JournalingReportNdrTo journal-ndr@archiv.firma.de
New-JournalRule -Name "nextxch Archive" -JournalEmailAddress journal-k3x9q2m7v1c8b4n6z5ta@archiv.firma.de -Scope Global -Enabled $true
Get-JournalRule | Format-Table Name,Enabled,JournalEmailAddress,Scope
# 4. Testmail senden: die Quelle zeigt das Original mit allen Envelope-Empfängern (auch Bcc)

# Exchange Server (Exchange Management Shell)
New-JournalRule -Name "nextxch Archive" -JournalEmailAddress journal-k3x9q2m7v1c8b4n6z5ta@archiv.firma.de -Scope Global -Enabled $true

# Google Admin-Konsole: Menü > Apps > Google Workspace > Gmail > Routing > Konfigurieren
#   Betroffene Nachrichten: eingehend, ausgehend, intern eingehend, intern ausgehend
#   Aktion: Nachricht ändern > Weitere Empfänger hinzufügen > Erweitert > Journal-Adresse
#   Optional: Spam nicht an diesen Empfänger zustellen, Unzustellbarkeitsberichte unterdrücken
# Journal-Quelle in nextxch: Format bcc oder auto, IP-Bereiche der Google-Ausgangsserver, TLS erforderlich

{
  "host": "imap.althoster.de",
  "tls": "implicit",
  "auth": "password",
  "mode": "single",
  "username": "buchhaltung@firma.de",
  "address": "buchhaltung@firma.de",
  "excludeFolders": ["Entwürfe"],
  "since": "2016-01-01",
  "maxConnections": 2
}
# Geheimnis: password (bzw. oauthToken bei xoauth2), im Listenmodus accounts/<id>/password

# Entra Admin Center > App-Registrierungen > Neue Registrierung "nextxch Archive" (nur dieser Mandant)
# API-Berechtigungen > Microsoft Graph > Anwendungsberechtigungen:
#   Mail.Read, User.Read.All (+ GroupMember.Read.All bei Gruppenfilter) > Administratorzustimmung erteilen
# Zertifikate & Geheimnisse: Zertifikat (.cer) hochladen oder Client-Geheimnis anlegen
{
  "tenantId": "firma.onmicrosoft.com",
  "clientId": "11111111-2222-3333-4444-555555555555",
  "credentialType": "certificate",
  "cloud": "global",
  "userFilter": { "mode": "group", "groupId": "99999999-0000-0000-0000-000000000009" },
  "sinceUtc": "2019-01-01T00:00:00Z"
}
# Geheimnisse: certificatePfx (Base64) + certificatePassword oder clientSecret (der Wert, nicht die ID)

# Admin-Konsole: Sicherheit > Zugriffs- und Datenverwaltung > API-Steuerung > Domainweite Delegation
#   Client-ID (numerisch) + Scopes:
#   https://www.googleapis.com/auth/gmail.readonly,
#   https://www.googleapis.com/auth/admin.directory.user.readonly
{
  "adminSubject": "admin@firma.de",
  "domain": "firma.de",
  "userFilter": "orgUnit",
  "orgUnitPath": "/Vertrieb",
  "sinceUtc": "2018-01-01T00:00:00Z",
  "quotaUnitsPerUserMinute": 4800
}
# Geheimnis: serviceAccountKey (JSON-Schlüsseldatei des Service-Accounts)

Aufbewahrung   RetentionDays 0..36500 (0 = keine WORM-Aufbewahrung)
Modus          Normal | Governance | Compliance (Standard)
Legal Hold     je Quelle, wirkt auch auf bereits archivierte Nachrichten
Speicher       lokal oder S3 mit Object Lock (wie das übrige GoBD-Archiv)
Status         je Postfach: letzter Lauf, nächster Lauf, gespeichert, Duplikate, abgelehnt, Fehler

# Suche in einem archivierten Postfach
curl -s "https://mail.firma.de/api/compliance/search?archivedMailboxId=<id>&q=Rechnung&limit=100" -H "X-Api-Key: $KEY"

# Beweisexport eines archivierten Postfachs (202, Status unter GET /api/compliance/exports/{id})
curl -X POST https://mail.firma.de/api/compliance/exports -H "X-Api-Key: $KEY" -H "Content-Type: application/json" \
  -d '{"scope":"mailbox","archivedMailboxId":"<id>","caseReference":"AZ 4 O 123/26"}'

# Wiederherstellung in ein nextxch-Postfach
curl -X POST https://mail.firma.de/api/compliance/restore/jobs -H "X-Api-Key: $KEY" -H "Content-Type: application/json" \
  -d '{"source":"archive","account":"archived:<id>","target":"account","targetAccount":"nachfolger@firma.de"}'

GET    /api/admin/archive-sources                          Quellen, Lizenzzeile, verfügbare Arten mit Feldern
GET    /api/admin/archive-sources/license                  used, allowed, free, remaining
POST   /api/admin/archive-sources                          Quelle anlegen
GET    /api/admin/archive-sources/{id}                     Quelle, Postfächer, Namen der Geheimnisse
PUT    /api/admin/archive-sources/{id}                     ändern (Einstellungen, Aufbewahrung, Legal Hold, Zeitplan)
DELETE /api/admin/archive-sources/{id}                     löschen
POST   /api/admin/archive-sources/{id}/test                Verbindungstest
POST   /api/admin/archive-sources/{id}/discover            Postfächer erkennen
GET    /api/admin/archive-sources/{id}/mailboxes           archivierte Postfächer
PUT    /api/admin/archive-sources/{id}/mailboxes/{mbxId}   {"enabled": true} innerhalb der Lizenzzeile
POST   /api/admin/archive-sources/{id}/run                 jetzt abrufen, optional {"mailboxId": "..."}
GET    /api/admin/archive-sources/{id}/runs                Verlauf (mailboxId, limit)

curl -X POST https://mail.firma.de/api/admin/archive-sources -H "X-Api-Key: $KEY" -H "Content-Type: application/json" -d '{
  "kind": "Journal", "name": "Microsoft 365 Journal", "journalDomain": "archiv.firma.de",
  "settings": { "domains": ["firma.de"], "allowedSenderNetworks": ["203.0.113.0/24"], "requireTls": true },
  "retentionDays": 3650, "lockMode": "Compliance" }'