Server-Statistik
Alle Domains und Postfächer: Speicher, Mailverkehr, Spam, Anmeldungen und IP-Sperren.
Live Server Event-Trace
0 Events PausiertEchtzeit-Diagnose-Grid für SMTP, IMAP, JMAP, ActiveSync®/DAV & Security - Klick auf IP, Konto oder Zeile zum Filtern & Inspizieren
| Zeit | Status | Protokoll / Modul | Richtung & Quelle | Konto / Ziel | Ereignis-Details |
|---|---|---|---|---|---|
| Verbunden mit Live-Stream. | |||||
Speicher- & Prozess-Telemetrie
Live Stream (Working Set MB)
Aktive ausgehende SMTP-Warteschlange
0 PausiertMX-Zustellung mit DANE, MTA-STS und Dual-DKIM
Persistente Nachrichtenverfolgung (Message Trace · 30 Tage Historie)
SQLite WAL + Live PushLückenloser Zustellnachweis für eingehende, ausgehende und interne E-Mails inkl. SMTP-Statuscode, Ziel-MX, TLS/DANE-Cipher, SpamScore und Latenz.
Neue E-Mail-Domain anlegen
Erzeugt automatisch einen initialen DKIM-Schlüssel und konfiguriert Catch-All, Plus-Addressing und S3/WORM-Aufbewahrung.
Verwaltete E-Mail-Domains
Aktive ausgehende SMTP-Warteschlange
0 in Queue AktivSofortversand (Send now), .eml-Quelltext-Inspektor, Einzel-Löschung, Leeren und Pausieren der ausgehenden Zustell-Warteschlange.
Live Outbound-MX, STARTTLS, DANE & Zustell-Tester
Dual-Stack IPv6 + IPv4Prüft in Echtzeit DNS-MX, MTA-STS, DNSSEC/DANE TLSA, TCP-Verbindung, 220-Banner, EHLO, TLS 1.3 Zertifikatskette und optional RCPT-Annahme ohne eine E-Mail zu senden.
Queue-Worker, Retry-Zeitplan & ISP-Throttling
0 ms Hot-ReloadSteuert parallele Delivery-Threads, Wiederholungsintervalle vor endgültigem NDR-Bounce (550/451) und Verbindungsdrosselung bei strengen Groß-ISPs.
4 · Best Practice: 4-88 · Best Practice: 8-12 (ca. 48h)4 · Best Practice: 2-4 (verhindert 421)25s · Happy-Eyeballs IPv6/IPv4Globaler Smart-Host (SMTP-Relayer) & Ausgehendes TLS
Direkte DNS-MX-Zustellung (inkl. DANE TLSA & MTA-STS) oder Weiterleitung aller ausgehenden E-Mails über ein zentrales Relay-Gateway.
Domain-spezifische SMTP-Routen & TLS-Zertifikatsausnahmen
Leitet Ziel-Domains an abweichende Relays weiter oder setzt gezielte TLS-/Zertifikatsregeln pro Domain (z. B. neff.me + Ziel-Host leer = Auto-MX + STARTTLS · Zertifikat ignorieren).
Eingehende ESMTP-Protokoll-Limits, Timeouts & Tarpitting
Globale Sitzungsgrenzen für Port 25 (MX), 465 (SMTPS) und 587 (Submission) zum Schutz vor DoS, Directory-Harvesting und Brute-Force.
Standard: 50 · Best: 35-50
Standard: 100 · RFC 5321
Standard: 120 · Best: 60-180
Standard: 2000
Standard: 30 · Best: 20-50
Standard: 1500 · Anti-Brute
RFC-Compliance & erweiterte Zustell-Optionen
Feinsteuerung wie in hMailServer (Protocols · SMTP · RFC compliance / Advanced). Änderungen greifen sofort ohne Neustart.
Standard: 5 · hMailServer: 3
Max. Tiefe Alias/Verteiler/Weiterleitung · Standard: 5
Standard: 15 · 0 = unbegrenzt
Server-Hostname (SMTP EHLO, MX-Banner & Autodiscover)
Greift in 0 ms ohne Dienst-Neustart für ausgehendes SMTP EHLO, eingehende 220-Banner, IMAP, ManageSieve & Autodiscover.
Reverse-DNS (PTR / FCrDNS) & Ausgehender Port 25
Live-Abgleich Ihrer öffentlichen WAN-IP, PTR-Auflösung und Test auf ausgehende Port-25-Sperren beim Hoster.
Externe Port-Erreichbarkeit über nextxch.com
5 Pflicht · 3 Optional5 Pflicht-Ports (25, 443, 465, 587, 993) für Mail, Webmail, ActiveSync®/DAV & TLS sowie 3 optionale Ports (80, 143, 4190).
Neues Postfach, Admin-Konto oder Verteilerliste anlegen
Klicke anschließend auf „Verwalten“, um Aliase, Weiterleitung, Abwesenheit, Quota, 2FA, PGP-Schlüssel und Verteiler-Mitglieder zu pflegen.
Encrypted File Share · Confidential and Secure Transfer (Webmail-Richtlinie)
AES-256-GCM · Forensischer IP-Nachweis 0 ms Hot-ReloadSteuert die maximalen Dateigrößen (Standard: 50 MB gesamt und max. 10 MB pro Einzeldatei), die Aufbewahrungsdauer der Transfers (Standard: bis zu 30 Tage, frei im Admin einstellbar), Passwortpflicht und ClamAV-Prüfung für ausgehende Datei-Links sowie externe Upload-Anforderungen im Webmail.
Abweichende Einstellungen pro Domain und Konto
Reihenfolge: Globale Richtlinie, dann Domain, dann Konto. Leere Felder übernehmen den Wert der Ebene darüber.
Scoped API-Keys, nextxch-cli & Transaktionale Sende-API
Rollenbasierte API-Schlüssel (Least-Privilege RBAC, CIDR-IP-Allowlist & Ablaufdatum) für POST /api/v1/send, SCIM 2.0, nextxch-cli und deklaratives Infrastructure-as-Code (snapshot / apply).
Integrierte Management- & Infrastructure-as-Code CLI (nextxch-cli) describe · get · query · create · update · delete · snapshot · apply · dns
Nextxch bringt nextxch-cli direkt in der Server-Binary mit (kein separater Download nötig). Das Server-Schema wird automatisch lokal gecacht; Ausgaben unterstützen menschenlesbare Tabellen sowie einzeiliges JSON und NDJSON-Streams für jq, Ansible und GitOps.
export NEXTXCH_URL="https://mail.firma.de" export NEXTXCH_TOKEN="smk_<key-id>_<secret>" # Schema & Live-Bestand abfragen (NDJSON direkt nach jq pipen) nextxch-cli describe Domain nextxch-cli query Account --filter domain=firma.de --json | jq -r '.email' # Domain (Dual-Key DKIM), Postfach & BIND-DNS-Zone per CLI anlegen nextxch-cli create Domain --field name=firma.de --field dkimSigningMode=Dual nextxch-cli create Account/User --field email=info@firma.de --field password="..." --field quotaMb=10240 nextxch-cli dns firma.de --bind --output firma.de.zone # Deklaratives Infrastructure-as-Code (Idempotenter Snapshot & Dry-Run Apply) nextxch-cli snapshot Domain Account Alias SpamGuard TransactionalSend --output prod-plan.ndjson nextxch-cli apply --file prod-plan.ndjson --dry-run
Transaktionale Sende-API: IP-Warming, Kategorien & Empfänger-Anbieter-Limits
100 % ProduktionSteuert separate Stunden- und Tages-Kontingente pro E-Mail-Kategorie (z. B. 2FA/Kritisch, Transaktional, Benachrichtigung, Marketing) klar getrennt nach Empfänger-Anbieter (Google/Gmail™, Microsoft® Outlook/Hotmail/Live, Yahoo® & AOL, T-Online/GMX/WEB.DE, Apple® iCloud) und Ziel-Domain.
1. E-Mail-Kategorien, Queue-Priorität & Überlauf-Verhalten
Steuerung per JSON-Feld "category": "transactional", HTTP-Header X-Email-Category oder API-Key-Standardkategorie. Kritische 2FA-/Passwort-Mails können das IP-Warming gezielt umgehen.
2. Limits pro Empfänger-Anbieter & Empfänger-Domain (Stunde / Tag & je Kategorie)
Jede Anbieter-Gruppe teilt sich ein gemeinsames Kontingent über ihre Domains (z. B. gmail.com + googlemail.com). Alle übrigen Domains erhalten über * jeweils ein eigenes isoliertes Kontingent pro einzelner Empfänger-Domain.
Globale Transport-Regeln: Pflicht-Signatur (Disclaimer) & Eingangs-System-Sieve
Hängt gesetzliche Pflichtangaben (§ 35a GmbHG / § 80 AktG) automatisch vor der DKIM-Signatur an ausgehende E-Mails an (inkl. Duplikat-Schutz bei Antworten).
Ideal für unternehmensweite Compliance-Filter, ERP-Header-Routing oder Quarantäne-Regeln. Leer lassen, wenn nicht benötigt.
SCIM 2.0 Provisioning, OpenID Connect (SSO) & Protokoll-Endpunkte
Direkte Endpunkte für Microsoft Entra ID®, Okta®, Keycloak®, Authentik sowie automatische Client-Einrichtung (Outlook®, Apple® Mail, Thunderbird).
Sitzungen & Auto-Logout
Automatische Abmeldung nach Inaktivität (0 = aus) und alle offenen Sitzungen mit IP, Gerät und letzter Aktivität.
1-Klick hMailServer Importer
Importiert Domains, Postfächer, Aliasse, Verteiler und dedupliziert optional direkt einen hMailServer\Data-Ordnerbaum.
Live-IMAP Postfach-Migrator
Synchronisiert fremde IMAP-Postfächer (Exchange®, Dovecot, Microsoft 365®, Gmail™, IONOS, Hetzner) inkl. Ordnerstruktur & Flags.
Exchange-Umzug (2013 / 2016 / 2019)
Holt Mails samt Ordnern und Gelesen-/Markiert-Status, Kalender, Kontakte, Notizen und Aufgaben direkt vom Exchange. Fehlende Domains, Konten und Zusatzadressen (auch in anderen Domains) werden angelegt. Ein erneuter Lauf holt nur Neues.
Einmalig in der Exchange Management Shell ausführen, damit das Admin-Konto alle Postfächer lesen darf:
New-ManagementRoleAssignment -Name NextxchMigration -Role ApplicationImpersonation -User migadmin
Postfachliste mit allen Adressen aller Domains auf dem Exchange exportieren und das Ergebnis unten einfügen:
DMARC Aggregate Report-Analyzer
Unterstützt .xml, .gz und .zip von Google®, Microsoft®, Yahoo®
SMTP TLS-RPT Analyzer (RFC 8460)
Prüft eingehende STARTTLS-, MTA-STS- und DANE-Telemetrieberichte
Live OpenMetrics / Prometheus Exposition (GET /metrics)
Grafana & Prometheus Alertmanager
Technische System- & Verfahrensdokumentation gemäß GoBD (Rz. 151 ff.)
Erzeugt aus Ihrer Live-Konfiguration (Domains, WORM-Fristen, SHA-256 Hash-Chain, Prüferkonten & EN 16931 Index) eine vorausgefüllte Verfahrensdokumentation.
GoBD / WORM Revisions-Suche
Durchsucht E-Mail-Volltext, PDF-Rechnungen, ZUGFeRD/XRechnung-XML und OCR-Anhänge über alle Postfächer (inkl. Soft-Delete).
SpamGuard, Smart Greylisting, DNSBL & ClamAV Antivirus
0 ms Hot-Reload FTRL ML: 0 Spam · 0 HamMehrstufiger Eingangsfilter: SPF/DKIM/DMARC/ARC + IPv4 /24 & IPv6 /64 Smart-Greylisting + DNSBL + selbstlernendes FTRL-Modell + ClamAV Virenscanner.
Standard: 4.5 · Best: 4.0-5.0
Standard: 9.0 · Best: 8.5-10.0
Standard: 240 · Best: 180-300
Standard: 3.5 · Best: 3.0-4.5
Standard: [SPAM]
Tipp: Nutzen Sie für Spamhaus einen eigenen lokalen DNS-Resolver (Unbound/Bind) statt öffentlicher Resolver (8.8.8.8/1.1.1.1).
Umgeht Greylisting & Spam-Punkte für vertrauenswürdige Partner (1 Eintrag pro Zeile).
Lehnt eingehende E-Mails dieser Absender/Domains direkt im SMTP-Dialog mit 550 ab.
Interaktiver Spam-, Header- & FTRL-Analyzer (Trockentest)
Prüfen Sie eine komplette .eml-Datei oder Beispiel-Nachricht live gegen Ihre aktuellen Schwellenwerte, Allow-/Blocklisten, DNSBLs und FTRL-Gewichte.
Phishing-Meldungen der Benutzer
Aus dem Webmail über "Spam melden" mit Auswahl "Phishing". Zeigt, welche Banken und Firmen vorgetäuscht werden und von welchen Absender-Domains.
Reputation Shield: Optionale IP- & Domain-Schutzmodule
Optional · Aus 0 ms Hot-ReloadAlle Module sind einzeln optional zuschaltbar: Automatische Hard-/Soft-Bounce Suppression-Liste, RFC 5965 ARF Spam-Beschwerde-Parser, DKIM-signiertes RFC 8058 1-Klick-Unsubscribe, 24h Bounce-Circuit-Breaker, adaptives 421/451 ISP-Backoff, Sandbox-Sink-Domain & signierte Event-Webhooks.
ok@sink.nextxch.local · bounce@... · defer@... · complaint@...
Suppression-Liste (Gesperrte Empfänger)
Verhindert wiederholte Zustellversuche an ungültige Postfächer, Beschwerdeführer und Abmelder.
Outbound-IP DNSBL Selbsttest
Prüft Ihre ausgehende IPv4 live gegen Spamhaus ZEN, SpamCop, Barracuda, NiX Spam (Heise/Manitu) & PSBL.
1-Klick Let's Encrypt Zertifikat (ACME v2 + 0 ms SNI Hot-Reload)
Erneuert Zertifikate für HTTPS (443), SMTPS (465), STARTTLS (25/587), IMAPS (993), ActiveSync® & ManageSieve (4190) ohne Neustart, inkl. stabilem Schlüssel für DANE TLSA (3 1 1).
Benötigte Domains & Subdomains für Mail, Autodiscover, Autoconfig & MTA-STS
Hake die gewünschten Hostnamen an, um sie oben in das Let's-Encrypt-SAN-Feld zu übernehmen. Für HTTP-01 / TLS-ALPN-01 muss der jeweilige A-/CNAME-Eintrag bereits auf diesen Mailserver zeigen.
Webmail unter eigenen Hostnamen
Webmail zusätzlich z. B. unter mail.kunde.de oder webmail.kunde.de anbieten. DNS: CNAME auf den Mailserver-Host, danach den Hostnamen per Let's Encrypt ins Zertifikat aufnehmen (automatische Verlängerung inklusive).
Aktive SNI-Zertifikate im Speicher
Vollständiger DNS-Advisor (MX, PTR, Autodiscover/SRV, SPF, DKIM, DMARC, BIMI, MTA-STS & DANE)
Alle benötigten und empfohlenen DNS-Einträge mit echten Server-Schlüsseln (DKIM & DANE TLSA 3 1 1) und Live-Abgleich gegen öffentliche DNS-Resolver.
Komplette DNS-Zonendatei (BIND / Cloud-DNS Import) einblenden
Delisting-Bericht exportieren
Alle abgelehnten ausgehenden Zustellungen im Zeitraum mit vollständigem SMTP-Dialog und den Fehlermeldungen der Gegenseite, z. B. für Freigabeanträge bei Microsoft, Google, GMX, Telekom oder Blocklisten.
Dauerhaftes Logging
Tagesdateien pro Bereich im Datenordner (logs/protocol). Passwörter werden geschwärzt, Mail-Inhalte nicht protokolliert.
Automatischer Brute-Force-Schutz (Fail2Ban / Auto-Ban)
0 aktive Auto-BansSperrt Angreifer-IPs nach wiederholten Fehl-Logins über SMTP AUTH, IMAP, ActiveSync®, JMAP & Webmail automatisch auf TCP-Ebene.
Standard: 8 · Best Practice: 5-10
Standard: 30 · Best Practice: 30-120
Neue IP-/CIDR-Sicherheitsregel hinzufügen
Greift sofort für eingehende TCP/TLS-Verbindungen.
Aktive IP-Firewall-Regeln
Freischaltungsanträge
Gesperrte Mailserver erhalten in der SMTP-Ablehnung einen Link zu /unblock/. Angenommen werden nur Anträge mit korrektem PTR (FCrDNS), MX und SPF; danach muss der Antrag per E-Mail an die Domain bestätigt werden.
OpenTelemetry (OTLP) & Strukturierte Server-Logs
OpenTelemetry Traces · Metrics · LogsExportiert W3C-korrelierte Spans, Metriken und strukturierte Logs per OTLP (gRPC / HTTP) sowie rotierend auf Disk.
Strukturierte Server-Logs (Live Ring-Buffer & JSONL-Rotation)
{DataDirectory}/logs/server-YYYY-MM-DD.jsonl
Erfasste Exceptions & abgewehrte Protokoll-Anomalien
{DataDirectory}/logs/exceptions-YYYY-MM-DD.jsonl
Mailbox-Kontingent bestellen / aufstocken
Gebunden an Ihren E-Mail-Account · Zahlung & Abwicklung sicher auf nextxch.com (Stripe®)
Hinweis: Nur aktive Benutzer-Postfächer zählen. Domains, Mandanten, Aliase, Verteilerlisten und Kubernetes®/Cluster-Nodes sind dauerhaft unlimitiert enthalten.
Cluster-Lizenz aktivieren & synchronisieren
Ed25519-signiertes Token (Offline-fähig, Container- & Kubernetes®-sicher via cluster_kv)
Automatische Server-Updates (Auto-Update)
Manuell (1-Klick)Steuert, ob der Mailserver neue Releases automatisch herunterlädt, per SHA-256 verifiziert und im Hintergrund installiert.
1-Klick-System-Update & Release-Details
Kryptografische SHA-256-Paketprüfung vor jedem Austausch der Programmdateien.
Terminal-, Container- & Cluster-Update
Alternativer Einzeiler für SSH, PowerShell®, Docker® Compose oder Kubernetes® Rolling-Upgrades.
irm https://nextxch.com/install.ps1 | iex