Chapitre 01 Prise en main Admin : #pNetwork

Architecture système, rechargement à chaud sans redémarrage & matrice des ports

nextxch réunit ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, la PWA Webmail et l'archivage WORM GoBD dans un seul processus natif (~40 Mo de RSS au repos). Presque tous les paramètres de l'Admin Cockpit (/admin/) s'appliquent sans redémarrage du service et se propagent automatiquement sur les nœuds du cluster.

Conseil d'exploitation & note d'architecture

N'exposez que les ports nécessaires sur votre pare-feu périmétrique. Les déploiements modernes exclusivement TLS n'ont besoin que des 5 ports principaux (25, 443, 465, 587, 993). Laissez le port 143 désactivé, sauf si d'anciens équipements internes ne peuvent pas utiliser le TLS implicite sur le port 993.

Configuration rapide du pare-feu périmétrique (UFW & Windows PowerShell)

Ouvre les 5 ports TCP entrants requis (25, 443, 465, 587, 993) ainsi que le port 80 pour Let's Encrypt HTTP-01.

Référence / configuration

# Linux (UFW)
sudo ufw allow 25,80,443,465,587,993/tcp

# Windows Server (PowerShell als Administrator)
New-NetFirewallRule -DisplayName "nextxch Core Ports" `
  -Direction Inbound -Protocol TCP -LocalPort 25,80,443,465,587,993 -Action Allow

Paramètres, valeurs par défaut & bonnes pratiques

Paramètre / emplacement	Description	Valeur par défaut	Bonne pratique en production
`ServerHostName (#pNetwork)`	FQDN public annoncé dans les messages d'accueil ESMTP 220, l'EHLO/HELO sortant, les réponses Autodiscover et les diagnostics TLS. S'applique en 0 ms sans redémarrage.	`mail.<DefaultDomain>`	Utilisez toujours un FQDN d'hôte dédié, tel que mail.company.com, qui correspond 1:1 à votre enregistrement DNS inverse (PTR) IPv4/IPv6 public.
`TCP 25 (ESMTP MX Inbound & Outbound)`	Réception MX entrante et remise MX sortante de serveur à serveur avec STARTTLS opportuniste/obligatoire et RFC 3030 CHUNKING/BDAT.	`Aktiv (Pflicht) / Enabled`	Autorisez le TCP 25 entrant et sortant (vérifiez le déblocage du port 25 auprès du FAI). L'AUTH en clair sur le port 25 est désactivée par défaut ; laissez-la désactivée.
`TCP 443 (HTTPS: Webmail, Admin, Push, DAV)`	Sert le Webmail PWA (/mail/), l'Admin Cockpit (/admin/), JMAP, CalDAV/CardDAV (/dav/), le push mobile (/Microsoft-Server-ActiveSync) et la Send API.	`Aktiv (Pflicht) / Enabled`	Service direct via Kestrel avec Let's Encrypt intégré, ou derrière une passerelle SSL HAProxy/Nginx/pfSense avec X-Forwarded-For / protocole PROXY.
`TCP 465 (SMTPS) & TCP 587 (Submission)`	Soumission authentifiée du courrier par les clients de messagerie de bureau/mobiles, les scanners et les imprimantes multifonctions (465 TLS implicite selon RFC 8314, 587 STARTTLS).	`Beide aktiv / Both enabled`	Privilégiez le port 465 (TLS implicite dès le premier octet selon RFC 8314) pour les clients modernes, tout en laissant le port 587 ouvert pour les scanners STARTTLS et les systèmes ERP.
`TCP 993 (IMAPS) & TCP 143 (IMAP)`	Accès aux boîtes aux lettres IMAP4rev2 avec push IDLE en moins de 5 ms et synchronisation bidirectionnelle des notes Apple (993 TLS implicite, 143 STARTTLS explicite).	`993 aktiv, 143 optional`	Laissez le port 993 ouvert ; fermez si possible le port 143 sur les interfaces publiques afin que les clients ne tentent jamais de connexions non chiffrées.
`TCP 995 (POP3S) & TCP 110 (POP3)`	POP3 selon RFC 1939 avec STLS, SASL (PLAIN, LOGIN), UIDL stable et TOP pour les anciens clients (995 TLS implicite, 110 STLS). Désactivé par défaut ; IMAP reste le protocole recommandé.	`Aus (Standard) / Off by default`	Activez dans Admin > Réseau (carte "POP3") sans redémarrage, globalement et par domaine ou utilisateur. Si nécessaire, ouvrez le port 995 ; le port 110 est facultatif.
`TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve)`	Le port 80 répond aux challenges HTTP-01 automatisés de Let's Encrypt ; le port 4190 fournit l'édition authentifiée des filtres ManageSieve (Thunderbird/Roundcube).	`Optional / Optional`	Ouvrez le port 80 si nextxch gère directement Let's Encrypt HTTP-01 ; n'exposez le port 4190 que si les utilisateurs gèrent leurs scripts Sieve depuis des clients de bureau.