Chapitre 08 Transport & défense de la messagerie Admin : #pOutbound

Outbound Reputation Shield, OutboundGuard, limites ESMTP & Fail2Ban

Tout serveur de messagerie exposé à Internet fait face à deux menaces : les bots externes de credential stuffing et la dégradation de la réputation sortante des IP/domaines (due à des rebonds permanents répétés, des plaintes pour spam, l'absence d'en-têtes de désabonnement RFC 8058 ou des comptes compromis). nextxch réunit les protections de délivrabilité essentielles des principaux ESP transactionnels - 100 % facultatives et activables individuellement.

Conseil d'exploitation & note d'architecture

Sous Réputation sortante & quotas (#pOutbound), basculez en 1 clic entre Désactivé (par défaut), Recommandé ou Strict (Bulk), ou activez sélectivement des modules individuels. Grâce au domaine sandbox intégré sans trafic *.sink.nextxch.local (ok@, bounce@, defer@, complaint@), vous pouvez tester en toute sécurité rebonds, webhooks et suppressions sans envoyer de trafic externe. Pour des exigences plus élevées, vous pouvez en outre placer une passerelle de messagerie en amont, voir le chapitre 09 : /docs/mail-gateway/.

Reputation Shield, substitutions TLS & Fail2Ban via le cockpit ou la CLI

Chaque protection peut être gérée en direct dans le Cockpit (#pOutbound) ou de manière déclarative via nextxch-cli.

Référence / configuration

# Reputation Shield per CLI abfragen oder als Preset aktivieren (0 ms Hot-Reload):
nextxch-cli get ReputationShield
nextxch-cli update ReputationShield --set preset=recommended

# TLS-Ausnahme für Partner-Domain mit Shared-Hosting-Zertifikats-Mismatch:
nextxch-cli create Route --set domain=neff.me --set tlsMode=StartTlsIgnoreCert --set description="Partner-MX Ausnahme"

# Brute-Force Auto-Ban Schwellenwerte in #pRules feinjustieren:
nextxch-cli update TransportRules --set autoBanThreshold=10 --set autoBanDurationMinutes=30

Paramètres, valeurs par défaut & bonnes pratiques

Paramètre / emplacement	Description	Valeur par défaut	Bonne pratique en production
`Suppression List & Auto-Bounce-Sperre (#pOutbound · optional)`	Enregistre automatiquement les rebonds permanents 5xx, les rebonds temporaires 4xx consécutifs et les désabonnements, et écarte avant l'envoi les destinataires connus comme inactifs, avant tout contact avec les serveurs MX distants.	`Optional (Vorlage: Empfohlen)`	Protège le score d'expéditeur chez Gmail, Outlook et Yahoo en ne sollicitant jamais de façon répétée des boîtes aux lettres inexistantes (550).
`ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional)`	Intègre automatiquement les rapports d'abus ARF entrants (RFC 5965) et injecte des en-têtes One-Click List-Unsubscribe RFC 8058 sur-signés DKIM, avec une gestion GET/POST sûre face aux scanners.	`Optional (für Bulk Pflicht ab 5.000/Tag)`	À activer pour les catégories marketing et notification : satisfait aux exigences de Google/Yahoo pour les expéditeurs en masse tout en protégeant les aperçus GET des scanners de liens d'entreprise.
`24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional)`	Déclenche automatiquement un disjoncteur lorsque le taux glissant sur 24 h de rebonds (>5 %) ou de plaintes (>0,2 %) s'envole, et applique des temps de refroidissement adaptatifs par domaine en cas de réponses de limitation 421/451.	`Optional (critical/2FA ausgenommen)`	Laissez AllowCriticalWhenTripped activé afin que les codes 2FA et les réinitialisations de mot de passe continuent de passer même si un mauvais lot marketing déclenche le disjoncteur.
`DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional)`	Vérifie votre IPv4 sortante auprès de 5 grandes DNSBL, envoie à votre CRM/ERP des webhooks de rebond/plainte signés HMAC-SHA256 et simule les résultats via *.sink.nextxch.local.	`sink.nextxch.local aktiv`	Dirigez les tests de staging/CI vers ok@, bounce@, defer@ et complaint@sink.nextxch.local pour tester de manière réaliste les rebonds & webhooks sans aucun trafic internet.
`Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules)`	Bloque les IP de force brute sur SMTP, IMAP, POP3, Webmail, ActiveSync et DAV (8 échecs -> bannissement de 30 min) tout en ralentissant les scanners par dictionnaire via le tarpit SMTP (1500 ms).	`Aktiv · 1500 ms Tarpit`	Laissez actif, mettez en liste d'autorisation les IP de sortie fixes du bureau/VPN dans #pRules et protégez les boîtes aux lettres humaines standard par des limites OutboundGuard par compte.