Documentación de nextxch
Manual de referencia claramente organizado que abarca instalación, DNS, seguridad, groupware, automatización con CLI y operación: cada guía específica documenta los valores predeterminados exactos y las buenas prácticas de producción.
Primeros pasos
Desde un host Windows, Linux o Docker recién instalado hasta la matriz de puertos perimetrales.
Instalación guiada (8 pasos)
Lista de comprobación previa interactiva, tutoriales para Windows (.msi), Linux (systemd) y Docker, además de solución de problemas por síntoma.
Arquitectura & matriz de puertos
nextxch unifica ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA y archivado GoBD WORM en una sola nati...
Redes, DNS & criptografía
Entregabilidad 10/10 con FCrDNS/PTR, Dual-DKIM, IPv6, pfSense & DANE con Let's Encrypt.
DNS (10/10), PTR & Autodiscover
Los grandes receptores como Gmail, Microsoft 365 y Deutsche Telekom evalúan la reputación del remitente en gran medida según la alineación del DNS. En TLS & DNS Advisor (#p...
IPv6 Dual-Stack & Happy Eyeballs
Todos los listeners de protocolo (ESMTP 25/465/587, IMAP 143/993, ManageSieve 4190) y Kestrel funcionan en modo de doble pila nativo ([::] con DualMode = true). Un...
pfSense, OPNsense & gateways SSL
Muchas implementaciones empresariales ejecutan su servidor web y nextxch en VLAN internas detrás de un firewall perimetral compartido (pfSense, OPNsense, Sophos) o un...
Let's Encrypt, MTA-STS, DANE & BIMI
nextxch automatiza la emisión y renovación de certificados X.509 mediante Let's Encrypt ACME v2 y sustituye en caliente en 0 ms los certificados renovados en HTTPS, SMTPS,...
Transporte y defensa del correo
Cola SMTP, diagnóstico MX en vivo, SpamGuard ML, greylisting, ClamAV, Fail2Ban & un gateway de correo antepuesto.
Cola SMTP, smart host & comprobador de MX
El motor de entrega saliente resuelve los registros MX, aplica las políticas MTA-STS y DANE TLSA, admite STARTTLS oportunista según RFC 7435 para hosts compartidos...
SpamGuard, greylisting & ClamAV
La defensa de entrada de nextxch combina comprobaciones a nivel de protocolo (SPF, DKIM, DMARC, FCrDNS, DNSBL, Smart Greylisting) con heurísticas MIME, un FTRL en línea...
IA en reglas Sieve
Las reglas de la bandeja de entrada y el Sieve del sistema pueden consultar a un modelo de lenguaje y, según la respuesta, mover, marcar o reenviar. Dos formas: una pregunta libre de sí/no...
Reputation Shield, límites ESMTP & Fail2Ban
Todo servidor de correo expuesto a Internet se enfrenta a dos amenazas: los bots externos de relleno de credenciales y el deterioro de la reputación saliente de la IP/del dominio (causado por repetidos...
Proxmox Mail Gateway antepuesto
Un gateway de correo delante acepta todo el correo de Internet, lo comprueba con un segundo motor antispam y antivirus independiente y reenvía solo c...
Milters & MTA Hooks
Los filtros existentes se conectan directamente al diálogo SMTP: los milters hablan la versión 6 del protocolo milter de Sendmail (Rspamd a través de su proxy milter, ClamA...
Clientes, groupware & CLI
Configuración de iPhone apta para mensajería, Outlook para Windows, calendario y contactos del Webmail, claves de API y CLI.
Configuración de iPhone, móvil & WhatsApp
Los usuarios deben poder configurar correo, calendario, contactos y notas en iOS y macOS en menos de 30 segundos sin escribir puertos ni exponer su m...
Webmail, calendario (CalDAV) & contactos
A diferencia de los backends de correo que solo ofrecen protocolos, nextxch incluye un Webmail PWA rápido e instalable (/mail/) con un calendario de groupware completo (mes, semana, d...
Configurar Outlook para Windows
Microsoft Outlook para Windows se conecta a nextxch mediante IMAP (entrante) y SMTP (saliente). Esto se aplica a Outlook clásico (Microsoft 365 Apps, Out...
nextxch-cli: comandos, consultas & IaC
Con nextxch-cli usted gestiona dominios, buzones, listas de distribución, alias, claves API con ámbito, rutas SMTP salientes (incl. excepciones TLS), calentamiento de IP...
Configuración como código (GitOps)
Todo el estado del servidor como archivos YAML en Git: inquilinos, dominios (selectores DKIM, MTA-STS, enrutamiento), buzones con alias, reenvío y fuera de la of...
Esquema de objetos de API & CLI (todos los campos)
Esta referencia documenta cada propiedad JSON, tipo de datos, valor de enumeración, valor predeterminado y rol RBAC mínimo de los 12 objetos de gestión (/api/...
Claves API, Send API & SSO
Las aplicaciones web, las herramientas de tickets, los sistemas ERP y los pipelines de CI/CD nunca deben compartir contraseñas de buzones de personas. En Claves de API, SSO & reglas (#pApiAuth), mi...
LDAP, AD, Entra ID & SSO
En Admin > Fuentes de identidad conecta un inquilino o dominios concretos a Active Directory o LDAP (inicio de sesión mediante bind, sincronización de usuarios, grupos anidados y...
Kerberos SSO (inicio de sesión de Windows)
Con Kerberos, los PC con Windows de la red corporativa inician sesión sin solicitud de contraseña: Webmail y administración mediante SPNEGO ("Iniciar sesión con Windows"), Out...
OAuth para Thunderbird, Outlook & CLI
nextxch es su propio servidor de autorización OAuth 2.1: las aplicaciones de correo inician sesión en el navegador mediante el inicio de sesión normal del webmail (incluidos 2FA y llaves de acceso),...
Cumplimiento, almacenamiento & operación
Message Trace, archivo GoBD WORM, SQLite / SQL Server / PostgreSQL 18 & actualizaciones.
Rastreo de mensajes & archivo GoBD WORM
Cuando un cliente pregunta '¿Dónde está nuestra factura?', necesita una respuesta factual inmediata. Message Trace (#pMessageTrace) registra marcas de tiempo exactas, IP remota...
Motores de almacenamiento, clúster & actualizaciones
nextxch separa limpiamente los metadatos estructurados y los índices de texto completo de los blobs MIME deduplicados con SHA-256 y comprimidos con Zstandard (-62 % de espacio en disco...
Panel de operaciones & alertas
El panel de operación (#pOps) muestra en vivo y como historial de 24 horas: correos por minuto entrantes y salientes, correo aplazado y rebotado, tasa de spam, inicios de sesión fall...
Referencia rápida: los 5 puertos de entrada necesarios
Además, el puerto TCP 25 saliente debe estar abierto hacia Internet para la entrega MX directa.
TCP 25ESMTP MX entrante y salienteTCP 443HTTPS: Webmail, administración, DAV, pushTCP 465Envío SMTPS de clientes (TLS)TCP 587Submission (STARTTLS)TCP 993Buzón IMAPS y push IDLEPreguntas frecuentes de operación
¿Qué puertos del firewall son estrictamente necesarios para nextxch?
El funcionamiento completo de correo, Webmail PWA, Mobile Push y CalDAV/CardDAV requiere 5 puertos TCP de entrada: 25 (ESMTP MX entrante), 443 (HTTPS para Webmail, administración, JMAP, CalDAV/CardDAV & Mobile Push), 465 (SMTPS con TLS implícito), 587 (Submission STARTTLS) y 993 (IMAPS). Los puertos opcionales son 80 (Let's Encrypt HTTP-01), 143 (IMAP STARTTLS), 4190 (ManageSieve) y 995 (POP3S) / 110 (POP3 STLS) si POP3 está activado, además del puerto TCP 25 saliente hacia Internet.
¿Por qué puede agotarse el tiempo de una comprobación de puertos externa cuando ambos servidores están detrás del mismo pfSense o gateway SSL?
Cuando un servidor web y un servidor de correo comparten un firewall (como pfSense, OPNsense o HAProxy) sin Hairpin NAT (NAT Reflection), se descartan los paquetes enviados desde dentro del gateway a su propia IP WAN pública. A partir de la v1.2.4, nextxch detecta automáticamente las topologías con gateway compartido mediante sondeo de rutas divididas. Para los clientes de la LAN se recomienda configurar anulaciones de host Split-DNS o Pure NAT Reflection.
¿Cómo comparto de forma segura un perfil de configuración de iPhone o smartphone a través de WhatsApp o Microsoft Teams?
En Cuentas & listas -> Configuración de dispositivos dentro de /admin/ (o en la configuración del Webmail), nextxch genera un enlace a una página de configuración válido 24 horas (/onboarding/setup/{token}), respaldado por una contraseña de aplicación dedicada por dispositivo. Los rastreadores de vista previa de WhatsApp, Teams, Telegram o Slack nunca consumen el token, y los WebViews integrados en las aplicaciones muestran un aviso limpio de traspaso a Safari para que iOS instale correctamente el perfil .mobileconfig firmado.
¿Cuáles son los umbrales de SpamGuard recomendados para producción?
Mantenga JunkThreshold en 4.5 (envía el correo sospechoso a Spam) y RejectThreshold en 9.0 (rechazo SMTP 550 definitivo para el spam evidente), junto con el greylisting inteligente (240 segundos en prefijos IPv4 /24 e IPv6 /64). Los MTA legítimos superan el greylisting automáticamente al reintentar y se almacenan en caché durante 30 días, lo que evita pérdidas de datos por falsos positivos.
¿Qué motor de base de datos debo elegir: SQLite WAL, Microsoft SQL Server o PostgreSQL 18?
Hasta ~250 buzones activos en un único host, SQLite WAL integrado ofrece lecturas por debajo del milisegundo sin mantenimiento de DBA. Las empresas Windows con Microsoft SQL Server existente (2019-2025, Express o Azure SQL) obtienen de serie clustering nativo de varios nodos y búsqueda, mientras que los clústeres Linux de alta disponibilidad se benefician de PostgreSQL 18 LISTEN/NOTIFY.