Capítulo 08 Transporte y defensa del correo Administración: #pOutbound

Outbound Reputation Shield, OutboundGuard, límites ESMTP & Fail2Ban

Todo servidor de correo expuesto a Internet se enfrenta a dos amenazas: los bots externos de credential stuffing y el daño a la reputación de la IP/dominio de salida (causado por rebotes permanentes repetidos, quejas de spam, ausencia de cabeceras de baja RFC 8058 o cuentas comprometidas). nextxch combina las salvaguardas de entregabilidad esenciales de los principales ESP transaccionales: 100 % opcionales y activables individualmente.

Consejo operativo y nota de arquitectura

En Outbound Reputation & Quotas (#pOutbound), cambie con 1 clic entre Desactivado (predeterminado), Recomendado o Estricto (masivo), o active módulos individuales de forma selectiva. Con el dominio sandbox integrado sin tráfico *.sink.nextxch.local (ok@, bounce@, defer@, complaint@) puede probar rebotes, webhooks y supresiones de forma segura sin enviar tráfico externo. Para requisitos más exigentes, puede anteponer además un gateway de correo, consulte el capítulo 09: /docs/mail-gateway/.

Reputation Shield, excepciones TLS & Fail2Ban mediante el Cockpit o la CLI

Cada protección se puede gestionar en vivo en el Cockpit (#pOutbound) o de forma declarativa con nextxch-cli.

Referencia / configuración

# Reputation Shield per CLI abfragen oder als Preset aktivieren (0 ms Hot-Reload):
nextxch-cli get ReputationShield
nextxch-cli update ReputationShield --set preset=recommended

# TLS-Ausnahme für Partner-Domain mit Shared-Hosting-Zertifikats-Mismatch:
nextxch-cli create Route --set domain=neff.me --set tlsMode=StartTlsIgnoreCert --set description="Partner-MX Ausnahme"

# Brute-Force Auto-Ban Schwellenwerte in #pRules feinjustieren:
nextxch-cli update TransportRules --set autoBanThreshold=10 --set autoBanDurationMinutes=30

Configuración, valores predeterminados y buenas prácticas

Ajuste / ubicación	Descripción	Valor predeterminado	Buena práctica de producción
`Suppression List & Auto-Bounce-Sperre (#pOutbound · optional)`	Registra automáticamente los rebotes permanentes 5xx, los rebotes temporales 4xx consecutivos y las bajas, descartando antes del envío los destinatarios inexistentes conocidos, sin llegar a contactar con los servidores MX remotos.	`Optional (Vorlage: Empfohlen)`	Protege la puntuación del remitente en Gmail, Outlook y Yahoo al no intentar nunca repetidamente buzones inexistentes con 550.
`ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional)`	Recibe automáticamente los informes de abuso ARF entrantes según RFC 5965 e inserta cabeceras One-Click List-Unsubscribe según RFC 8058, sobrefirmadas con DKIM y con tratamiento GET/POST seguro frente a escáneres.	`Optional (für Bulk Pflicht ab 5.000/Tag)`	Actívelo para las categorías marketing y notification: cumple los requisitos de Google/Yahoo para remitentes masivos y mantiene las vistas previas GET inmunes a los escáneres de enlaces corporativos.
`24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional)`	Activa un disyuntor automático cuando las tasas móviles de rebotes (>5 %) o de quejas (>0,2 %) en 24 h se disparan, y aplica pausas adaptativas por dominio ante respuestas de límite de tasa 421/451.	`Optional (critical/2FA ausgenommen)`	Mantenga AllowCriticalWhenTripped activado para que los códigos 2FA y los restablecimientos de contraseña sigan enviándose aunque un lote de marketing defectuoso dispare el disyuntor.
`DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional)`	Comprueba su IPv4 saliente en 5 DNSBL principales, envía a su CRM/ERP webhooks de rebotes/quejas firmados con HMAC-SHA256 y simula resultados mediante *.sink.nextxch.local.	`sink.nextxch.local aktiv`	Dirija las pruebas de staging/CI a ok@, bounce@, defer@ y complaint@sink.nextxch.local para probar rebotes & webhooks de forma realista sin ningún tráfico de Internet.
`Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules)`	Bloquea las IP de fuerza bruta en SMTP, IMAP, POP3, Webmail, ActiveSync y DAV (8 fallos -> bloqueo de 30 min), mientras frena a los escáneres de diccionario con un tarpit SMTP (1500 ms).	`Aktiv · 1500 ms Tarpit`	Déjelo activo, incluya en la lista de permitidos las IP de salida estáticas de la oficina/VPN en #pRules y mantenga protegidos los buzones personales estándar mediante límites de OutboundGuard por cuenta.