Capítulo 06 Transporte y defensa del correo Administración: #pSmtpQueue

Cola SMTP, calendario de reintentos, limitación por ISP, smart host & comprobador de MX en vivo

El motor de entrega saliente resuelve los registros MX, aplica las políticas MTA-STS y DANE TLSA, admite STARTTLS oportunista según RFC 7435 para MX de alojamiento compartido, aplica firmas Dual-DKIM y gestiona automáticamente los reintentos ante aplazamientos 4xx.

Consejo operativo y nota de arquitectura

Utilice el Live Tester integrado de MX saliente, STARTTLS & DANE (#pSmtpQueue) siempre que un dominio asociado notifique problemas: ejecuta un handshake real y no destructivo de TCP, EHLO, STARTTLS y DANE TLSA contra sus servidores MX sin enviar ningún correo.

Seguridad del transporte saliente: TLS oportunista frente a TLS obligatorio

Cómo nextxch equilibra automáticamente una autenticación criptográfica estricta con la compatibilidad con MX de alojamiento compartido.

Referencia / configuración

1. Ziel-Domain hat DANE TLSA oder MTA-STS (mode: enforce):
   -> Strikte Zertifikats- & Hostname-Prüfung (Pflicht-TLS, kein Fallback).
2. Standard Port-25-MX ohne MTA-STS/DANE (Opportunistic STARTTLS, RFC 7435):
   -> Verschlüsselt per TLS 1.3/1.2 auch dann, wenn ein Shared-Hoster-MX
      ein Zertifikat auf seinen Provider-Namen präsentiert (kein unnötiger Bounce).
3. Domain-Policy RequireOutboundTls = true:
   -> Erzwingt striktes TLS für besonders schützenswerte Partner-Domains.

Configuración, valores predeterminados y buenas prácticas

Ajuste / ubicación	Descripción	Valor predeterminado	Buena práctica de producción
`RetryScheduleMinutes`	Intervalos de reintento separados por comas, en minutos, cuando un MX remoto devuelve un aplazamiento temporal 4xx (como greylisting o limitación temporal).	`5, 15, 60, 240, 720, 1440`	Mantenga el valor predeterminado (el primer reintento a los 5 min supera rápidamente el greylisting remoto; los pasos progresivos abarcan ~41 horas antes de generar un rebote DSN definitivo).
`OutboundWorkerConcurrency`	Número máximo de workers simultáneos de entrega SMTP saliente para todos los dominios de destino.	`4 Worker`	De 4 a 8 workers son adecuados para el tráfico típico de una pyme; escale a 12-24 para picos de facturación transaccional de gran volumen.
`MaxConnectionsPerMxIp & RatePerMinute`	Limita las sesiones TCP simultáneas y los mensajes/minuto por IP/dominio MX de destino para evitar aplazamientos por límite de tasa 421 en los grandes ISP.	`2 Verbindungen · 60/Min.`	Mantenga límites conservadores (2 conexiones simultáneas, 30-60 mensajes/min), especialmente al calentar una dirección IP nueva.
`Globaler Smart-Host & Domain-Routen`	Enruta todo el correo saliente a través de un relay ascendente (cuando el ISP bloquea el TCP 25) o dominios concretos hacia gateways internos de ERP/DMS/partners.	`Direkter MX-Versand (leer)`	Prefiera la entrega MX directa siempre que el TCP 25 esté abierto y el PTR esté alineado; utilice un smart host en VM en la nube en las que el puerto 25 saliente esté bloqueado.
`Zertifikatsprüfung & TLS-Ausnahmen (RemoteCertificateNameMismatch)`	Configura globalmente (Opportunistic, IgnoreErrors, Strict) o por dominio de destino (TargetHost vacío = Auto DNS-MX + StartTlsIgnoreCert) si el correo se entrega cifrado a pesar de discrepancias del nombre de host en el certificado del MX remoto.	`Opportunistic (RFC 7435)`	Mantenga 'Opportunistic' de forma predeterminada; con políticas estrictas, añada dominios de socios concretos a la lista de permitidos con 1 clic directamente desde la cola activa mediante StartTlsIgnoreCert.