Chapitre 06 Transport & défense de la messagerie Admin : #pSmtpQueue

File d'attente SMTP, calendrier de nouvelles tentatives, limitation par FAI, smart host & Live MX Tester

Le moteur de remise sortante résout les enregistrements MX, applique les politiques MTA-STS et DANE TLSA, prend en charge le STARTTLS opportuniste RFC 7435 pour les MX d'hébergement mutualisé, appose les signatures Dual-DKIM et gère automatiquement les nouvelles tentatives après report 4xx.

Conseil d'exploitation & note d'architecture

Utilisez le testeur intégré Outbound MX, STARTTLS & DANE Live Tester (#pSmtpQueue) dès qu'un domaine partenaire signale des problèmes : il effectue une véritable négociation TCP, EHLO, STARTTLS et DANE TLSA non destructive avec ses serveurs MX, sans envoyer d'e-mail.

Sécurité du transport sortant : TLS opportuniste ou imposé

Comment nextxch concilie automatiquement une authentification cryptographique stricte avec la compatibilité MX des hébergements mutualisés.

Référence / configuration

1. Ziel-Domain hat DANE TLSA oder MTA-STS (mode: enforce):
   -> Strikte Zertifikats- & Hostname-Prüfung (Pflicht-TLS, kein Fallback).
2. Standard Port-25-MX ohne MTA-STS/DANE (Opportunistic STARTTLS, RFC 7435):
   -> Verschlüsselt per TLS 1.3/1.2 auch dann, wenn ein Shared-Hoster-MX
      ein Zertifikat auf seinen Provider-Namen präsentiert (kein unnötiger Bounce).
3. Domain-Policy RequireOutboundTls = true:
   -> Erzwingt striktes TLS für besonders schützenswerte Partner-Domains.

Paramètres, valeurs par défaut & bonnes pratiques

Paramètre / emplacement	Description	Valeur par défaut	Bonne pratique en production
`RetryScheduleMinutes`	Intervalles de backoff séparés par des virgules, en minutes, lorsqu'un MX distant renvoie un report temporaire 4xx (par ex. greylisting ou limitation temporaire).	`5, 15, 60, 240, 720, 1440`	Conserver la valeur par défaut (la première nouvelle tentative après 5 min franchit rapidement le greylisting distant ; les paliers progressifs s'étendent sur ~41 heures avant la génération d'un rebond DSN définitif).
`OutboundWorkerConcurrency`	Nombre maximal de workers de remise SMTP sortante simultanés, tous domaines de destination confondus.	`4 Worker`	4 à 8 workers conviennent au trafic typique d'une PME ; passez à 12-24 pour les pics de facturation transactionnelle à fort volume.
`MaxConnectionsPerMxIp & RatePerMinute`	Limite les sessions TCP simultanées et les messages par minute par IP/domaine MX de destination afin d'éviter les reports 421 pour limitation de débit chez les grands FAI.	`2 Verbindungen · 60/Min.`	Conservez des plafonds prudents (2 connexions simultanées, 30 à 60 messages/min), en particulier lors du préchauffage d'une nouvelle adresse IP.
`Globaler Smart-Host & Domain-Routen`	Achemine soit tout le courrier sortant via un relais amont (lorsque le FAI bloque le TCP 25), soit des domaines précis vers des passerelles internes ERP/GED/partenaires.	`Direkter MX-Versand (leer)`	Privilégiez la remise MX directe dès que le TCP 25 est ouvert et que le PTR est aligné ; utilisez un smart host sur les VM cloud où le port 25 sortant est bloqué.
`Zertifikatsprüfung & TLS-Ausnahmen (RemoteCertificateNameMismatch)`	Définit globalement (Opportunistic, IgnoreErrors, Strict) ou par domaine de destination (TargetHost vide = Auto DNS-MX + StartTlsIgnoreCert) si le courrier est remis chiffré malgré une non-concordance du nom d'hôte du certificat du MX distant.	`Opportunistic (RFC 7435)`	Conservez 'Opportunistic' par défaut ; avec des politiques strictes, mettez en liste blanche des domaines partenaires spécifiques en 1 clic directement depuis la file d'attente active via StartTlsIgnoreCert.