ES
Empezar gratis
Confianza empresarial, madurez y gobernanza

Hechos verificables para CIO, CISO y auditores de cumplimiento

El correo y el groupware son el núcleo de la infraestructura empresarial. Esta es nuestra documentación sin adornos sobre el historial de versiones, la gestión de vulnerabilidades según RFC 9116, el depósito del código fuente (escrow), los límites del cumplimiento GoBD/IDW PS 880 y benchmarks reproducibles.

Historial de versiones (v1.0.0) Manual de administración y buenas prácticas Divulgación de seguridad (RFC 9116) Depósito del código fuente (escrow) Estado de GoBD e IDW PS 880 SHA256SUMS.txt
Ritmo de ingeniería verificable

Historial de versiones y registro de cambios público

Cada versión supera conjuntos automatizados de pruebas de integración de protocolos, criptografía y varios motores (SQLite WAL, PostgreSQL® y Microsoft® SQL Server®) y se publica con resúmenes SHA-256 verificables.

nextxch 1.0.0 · Primera versión oficial

1.0.0 · 03.11.2026

Niveles de licencia: Free hasta 6 buzones, gratis para siempre, Business desde 7 buzones, Enterprise desde 15 buzones con los protocolos de Microsoft bajo petición; prueba de Enterprise de 30 días bajo petición. Condiciones de licencia (EULA) versión 2.3.

  • Protocolos: ESMTP en streaming (BDAT/CHUNKING, SNI STARTTLS), IMAP4rev2, POP3, ManageSieve, JMAP con push y archivos (FileNode), CalDAV/CardDAV con sincronización diferencial, MTA-STS y DANE, doble pila IPv6 real con entrega Happy Eyeballs. Enterprise: ActiveSync® (12.1 a 16.1, push), EWS, MAPI over HTTP y Autodiscover.
  • Webmail: PWA con calendario (mes, semana, día, agenda), invitaciones, series con excepciones, asistente de programación con disponibilidad, salas, páginas de reserva y reuniones de Teams; contactos con foto y todos los campos, notas y tareas; S/MIME y OpenPGP, uso compartido con enviar como y enviar en nombre de, vista de código fuente y encabezados, comprobación y denuncia de phishing, diseño de correo conmutable.
  • Admin: barra lateral con 8 áreas y búsqueda, editores de cuentas, dominios, alias y listas, cambio de nombre de dominio, enlaces directos, registros de protocolo con visor en vivo, estadísticas de 30 días, message trace, panel de SpamGuard y ClamAV, comprobador de MX, STARTTLS y DANE, comprobación externa de puertos y PTR, cambio de nombre de host sin reinicio, firmas obligatorias, invitación por enlace, QR o WhatsApp y actualización en 1 clic con verificación SHA-256.
  • Seguridad: Argon2id, 2FA, passkeys, contraseñas de aplicación, OIDC, SSO con Kerberos (desde Business) y servidor OAuth 2.1 propio (XOAUTH2, OAUTHBEARER, código de dispositivo); DKIM doble (Ed25519 y RSA), SPF/DKIM/DMARC en cada mensaje entrante, heurísticas de phishing, historial de inicios de sesión, sesiones con cierre por dispositivo, países de las IP, desbloqueo de autoservicio, Web Key Directory, CSP y HSTS.
  • Cumplimiento: archivo GoBD con S3 Object Lock (COMPLIANCE) y aviso si falta Object Lock, generador de la documentación de procedimientos GoBD, búsqueda de texto completo en MIME, PDF, ZUGFeRD/XRechnung y OCR con raíces alemanas, diéresis, palabras compuestas y corrección de errores tipográficos, informes DMARC y TLS-RPT, Encrypted File Share.
  • Clúster y operación: SQLite WAL, PostgreSQL® 18 activo-activo sin Redis y Microsoft® SQL Server® (2019 a 2025, Express, Azure® SQL); conmutación por error de DNS integrada (Hetzner, Cloudflare), nombre EHLO por nodo, errores temporales (SMTP 4xx) ante un fallo del almacenamiento, Let's Encrypt, /metrics para Prometheus; paquetes como .msi de Windows®, .deb, .tar.gz para Linux® y macOS®, imagen OCI multiarquitectura y chart de Helm.
  • Integración: API v1 para calendario, salas, reservas, contactos, directorio y uso compartido con claves de API con alcance u OAuth 2.0, webhooks firmados y OpenAPI 3.1; API de envío transaccional con IP warming y límites por proveedor, Reputation Shield opcional, rutas de smarthost; nextxch-cli, configuración como archivo (GitOps), condiciones de IA en reglas Sieve (desde Business), SCIM 2.0; migración desde Exchange® 2013 a 2019, importación de PST y hMailServer.
  • Idiomas: Webmail, admin, correos del sistema y sitio web en 10 idiomas, incluido el árabe de derecha a izquierda; selección de zona horaria con un mapa del mundo.

Divulgación de vulnerabilidades y plazos de parches (RFC 9116)

/.well-known/security.txt · security@nextxch.com

  • Contacto directo con ingeniería de seguridad: los informes enviados a security@nextxch.com llegan directamente al equipo central de ingeniería de iqmeta GmbH.
  • Evaluación de ingeniería y objetivos de parches: nuestro objetivo de ingeniería es un acuse de recibo humano en < 24 horas, con versiones hotfix para problemas críticos (CVSS v4.0 >= 9.0) en < 48 horas y de gravedad alta (CVSS 7.0–8.9) en < 7 días naturales. Los SLA de soporte contractualmente vinculantes se incluyen a partir de 10.000 buzones con licencia.
  • Parches in situ con un solo comando: las versiones de mantenimiento mensuales se aplican limpiamente en segundos mediante install.sh --update, el asistente de actualización .msi de Windows® o etiquetas de contenedor fijadas.
  • Safe Harbor: la investigación de seguridad de buena fe realizada conforme a la divulgación coordinada de vulnerabilidades goza de pleno Safe Harbor legal por parte de iqmeta GmbH.

Depósito del código fuente (escrow) y garantía de continuidad

Protección frente a la dependencia del proveedor (vendor lock-in) y el riesgo de insolvencia

  • Depósito contractual del software en Alemania: bajo solicitud, iqmeta GmbH deposita el árbol de código fuente completo y las cadenas de compilación reproducibles (.sln, WiX .msi, empaquetadores de Linux®, esquemas SQL) ante un agente de depósito (escrow) alemán independiente.
  • Condiciones de SLA y escrow (a partir de 10.000 buzones): incluidas bajo solicitud como anexo del contrato Enterprise junto con nuestro SLA Enterprise vinculante a partir de 10.000 buzones (más las tarifas del agente de escrow externo), o disponibles como adenda opcional en los niveles 1-4.
  • Sin interruptor de apagado y formatos de datos abiertos: el servicio SMTP, IMAP, JMAP y CalDAV/CardDAV existente nunca se detiene, aunque nuestros servidores de licencias no estén accesibles, y todos los datos residen en PostgreSQL®/SQLite estándar, además de registros RFC .eml, .ics y .vcf.
Transparencia en cumplimiento fiscal y de auditoría (GoBD alemana)

Controles GoBD, documentación de procedimientos y estado honesto de IDW PS 880

Un cumplimiento creíble exige precisión: según la legislación fiscal alemana (BMF GoBD), el cumplimiento se logra conjuntamente mediante controles técnicos de inmutabilidad en el software y una documentación de procedimientos específica de cada organización.

1. Controles técnicos de inmutabilidad

Retención en formato original de los mensajes MIME entrantes/salientes y del XML ZUGFeRD EN 16931 incrustado, encadenamiento criptográfico de hashes SHA-256, S3 Object Lock (COMPLIANCE) o WORM en el sistema de archivos, retención legal (Legal Hold) y un rol ComplianceAuditor que no modifica nada.

2. Generador integrado de documentación de procedimientos

A partir de la v1.1.0, el Admin Cockpit exporta una plantilla prerrellenada de documentación técnica de procedimientos GoBD (.md según GoBD Rz. 151 y ss.) que refleja sus dominios activos, plazos de retención, backend WORM y cuentas de auditor.

3. Estado transparente de IDW PS 880

A fecha de la v1.0.0, todavía no se ha emitido un certificado de auditor externo según IDW PS 880; actualmente está en preparación en iqmeta GmbH. Nuestra matriz de controles técnicos está disponible para los equipos de cumplimiento bajo petición.

Ruta de evaluación de Enterprise recomendada

Por qué fomentamos activamente las pruebas piloto metódicas

nextxch es una plataforma moderna de 2026 desarrollada por iqmeta GmbH en Waldenbuch, cerca de Stuttgart (Registro Mercantil HRB 748338 · NIF-IVA DE 294776335 · seguro de responsabilidad civil de TI a través de exali). Valide cada afirmación en su propio hardware:

Paso 1: despliegue gratuito en un dominio de prueba

Despliegue Free (hasta 6 buzones, gratis para siempre) o solicite una prueba de 30 días de Enterprise con todas las funciones para un dominio de staging. Verifique ESMTP, JMAP, Webmail, CalDAV/CardDAV y ejecute usted mismo run-benchmark.sh.

Paso 2: sincronización paralela no destructiva

Replique buzones activos desde hMailServer, Exchange® o Dovecot en modo delta IMAP TLS de solo lectura, sin tocar sus registros MX de producción.

Paso 3: transición controlada a producción

Cambie los registros MX usando paquetes fijados v1.0.0, la documentación de procedimientos GoBD exportada, la retención S3 WORM y el soporte directo de ingeniería alemana (SLA contractual a partir de 10.000 buzones).

Preguntas frecuentes sobre gobernanza, auditoría y seguridad

¿Dispone nextxch de un certificado de auditoría IDW PS 880?

A fecha de la v1.0.0 (noviembre de 2026), la certificación formal de terceros según IDW PS 880 está en preparación y aún no se ha emitido. Técnicamente, nextxch implementa controles completos de inmutabilidad GoBD (conservación del MIME original & del XML ZUGFeRD, encadenamiento de hashes SHA-256, S3 Object Lock WORM, Legal Hold, rol ComplianceAuditor sin capacidad de modificación) e incluye un generador integrado para la documentación de procedimientos obligatoria (GoBD Rz. 151 y ss.).

¿Están disponibles el depósito del código fuente (escrow) y un SLA Enterprise vinculante?

Sí. iqmeta GmbH ofrece un SLA Enterprise vinculante y un depósito contractual del código fuente y de la canalización de compilación reproducible (escrow) en Alemania. Ambos están incluidos sin coste adicional de licencia a partir de 10.000 buzones con licencia; por debajo de ese umbral, el depósito del código fuente (escrow) también está disponible como anexo opcional de pago. Además, nextxch no contiene ningún interruptor de desactivación (kill switch): el tráfico de correo y CalDAV/CardDAV existente continúa indefinidamente aunque nuestros servidores de licencias no estén accesibles.

¿Cómo se gestionan y corrigen las vulnerabilidades de seguridad?

Los informes enviados a security@nextxch.com (publicado mediante RFC 9116 /.well-known/security.txt) reciben una evaluación humana en un plazo de 24 horas. Las vulnerabilidades críticas (CVSS >= 9.0) reciben un hotfix en un plazo de 48 horas; las de gravedad alta (CVSS 7.0–8.9), en un plazo de 7 días naturales. Cada paquete se publica con sumas de comprobación SHA-256 verificables.

¿Cómo podemos verificar los benchmarks publicados de RAM y rendimiento?

Descargue y ejecute nuestro arnés de benchmark abierto (/downloads/run-benchmark.sh) en su propia VM o servidor bare-metal. Registra los metadatos de CPU/kernel, mide con exactitud la memoria VmRSS de /proc en reposo y tras la carga, genera entregas ESMTP en paralelo con payloads XML ZUGFeRD e informa de la latencia de búsqueda p50/p95/p99.

¿La interfaz WBXML Mobile Push está vinculada a Microsoft® o tiene licencia de Microsoft®?

No. nextxch es una implementación clean-room 100 % independiente desarrollada por iqmeta GmbH. La interfaz opcional WBXML Mobile Push (configurable mediante ActiveSync:Enabled) implementa especificaciones de interoperabilidad documentadas públicamente ([MS-ASHTTP]/[MS-ASCMD]/[MS-ASWBXML]) exclusivamente para la interoperabilidad con clientes. nextxch no está afiliada a Microsoft®, Apple® ni Google®, ni está respaldada, licenciada o certificada por ellos.

Solicitar una prueba de Enterprise y la matriz de controles Descargar el script de benchmark abierto (run-benchmark.sh) Leer la comparativa justa de sistemas