FR
Commencer gratuitement
Confiance, maturité & gouvernance Enterprise

Des faits vérifiables pour DSI, RSSI et auditeurs de conformité

La messagerie et le groupware sont au cœur de l'infrastructure d'entreprise. Voici notre documentation sans fard sur l'historique des versions, la gestion des vulnérabilités selon RFC 9116, le séquestre du code source, les limites de conformité GoBD/IDW PS 880 et des benchmarks reproductibles.

Historique des versions (v1.0.0) Manuel d'administration & bonnes pratiques Divulgation de sécurité (RFC 9116) Séquestre du code source (escrow) Statut GoBD & IDW PS 880 SHA256SUMS.txt
Rythme de développement vérifiable

Historique des versions & journal des modifications public

Chaque version passe des suites automatisées de tests de protocoles, de cryptographie et d'intégration multi-moteurs (SQLite WAL, PostgreSQL® & Microsoft® SQL Server®) et est livrée avec des empreintes SHA-256 vérifiables.

nextxch 1.0.0 · Première version officielle

1.0.0 · 03.11.2026

Niveaux de licence : Free jusqu'à 6 boîtes aux lettres, gratuit pour toujours, Business à partir de 7 boîtes aux lettres, Enterprise à partir de 15 boîtes aux lettres avec les protocoles Microsoft sur demande ; essai Enterprise de 30 jours sur demande. Conditions de licence (EULA) version 2.3.

  • Protocoles : ESMTP en streaming (BDAT/CHUNKING, SNI STARTTLS), IMAP4rev2, POP3, ManageSieve, JMAP avec push et fichiers (FileNode), CalDAV/CardDAV avec synchronisation différentielle, MTA-STS et DANE, véritable double pile IPv6 avec distribution Happy Eyeballs. Enterprise : ActiveSync® (12.1 à 16.1, push), EWS, MAPI over HTTP et Autodiscover.
  • Webmail : PWA avec calendrier (mois, semaine, jour, agenda), invitations, séries avec exceptions, assistant de planification avec disponibilités, salles, pages de réservation et réunions Teams ; contacts avec photo et tous les champs, notes et tâches ; S/MIME et OpenPGP, partage avec envoyer en tant que et envoyer de la part de, affichage de la source et des en-têtes, vérification et signalement d'hameçonnage, disposition du courrier commutable.
  • Admin : barre latérale avec 8 sections et recherche, éditeurs pour comptes, domaines, alias et listes, renommage de domaine, liens directs, journaux de protocole avec visionneuse en direct, statistiques sur 30 jours, message trace, panneau SpamGuard et ClamAV, testeur MX, STARTTLS et DANE, contrôle externe des ports et du PTR, changement de nom d'hôte sans redémarrage, signatures obligatoires, invitation par lien, QR ou WhatsApp et mise à jour en 1 clic avec vérification SHA-256.
  • Sécurité : Argon2id, 2FA, passkeys, mots de passe d'application, OIDC, SSO Kerberos (à partir de Business) et serveur OAuth 2.1 intégré (XOAUTH2, OAUTHBEARER, code d'appareil) ; double DKIM (Ed25519 et RSA), SPF/DKIM/DMARC sur chaque message entrant, heuristiques anti-hameçonnage, historique des connexions, sessions avec déconnexion par appareil, pays des adresses IP, déblocage en libre-service, Web Key Directory, CSP et HSTS.
  • Conformité : archive GoBD avec S3 Object Lock (COMPLIANCE) et avertissement en l'absence d'Object Lock, générateur de documentation de procédure GoBD, recherche plein texte sur MIME, PDF, ZUGFeRD/XRechnung et OCR avec racines allemandes, trémas, mots composés et correction des fautes de frappe, rapports DMARC et TLS-RPT, Encrypted File Share.
  • Cluster et exploitation : SQLite WAL, PostgreSQL® 18 actif-actif sans Redis et Microsoft® SQL Server® (2019 à 2025, Express, Azure® SQL) ; basculement DNS intégré (Hetzner, Cloudflare), nom EHLO par nœud, erreurs temporaires (SMTP 4xx) en cas de panne du stockage, Let's Encrypt, /metrics pour Prometheus ; paquets Windows® .msi, .deb, .tar.gz pour Linux® et macOS®, image OCI multi-architecture et chart Helm.
  • Intégration : API v1 pour calendrier, salles, réservations, contacts, annuaire et partage avec clés API à portée limitée ou OAuth 2.0, webhooks signés et OpenAPI 3.1 ; API d'envoi transactionnel avec IP warming et limites par fournisseur, Reputation Shield optionnel, routes smarthost ; nextxch-cli, configuration sous forme de fichier (GitOps), conditions IA dans les règles Sieve (à partir de Business), SCIM 2.0 ; migration depuis Exchange® 2013 à 2019, import PST et hMailServer.
  • Langues : Webmail, admin, e-mails système et site web en 10 langues, y compris l'arabe de droite à gauche ; choix du fuseau horaire sur une carte du monde.

Divulgation des vulnérabilités & délais de correctifs (RFC 9116)

/.well-known/security.txt · security@nextxch.com

  • Contact direct avec l'ingénierie sécurité : les signalements envoyés à security@nextxch.com parviennent directement à l'équipe d'ingénierie principale d'iqmeta GmbH.
  • Tri technique & objectifs de correctifs : notre objectif technique est un accusé de réception humain en < 24 heures, avec des correctifs pour les problèmes critiques (CVSS v4.0 >= 9.0) en < 48 heures et pour les problèmes de gravité élevée (CVSS 7.0–8.9) en < 7 jours calendaires. Des SLA de support contractuellement contraignants sont inclus à partir de 10 000 boîtes aux lettres sous licence.
  • Mise à jour sur place en une seule commande : les versions de maintenance mensuelles s'appliquent proprement en quelques secondes via install.sh --update, l'assistant de mise à niveau .msi pour Windows® ou des tags de conteneur figés.
  • Safe Harbor : la recherche en sécurité menée de bonne foi dans le cadre de la divulgation coordonnée des vulnérabilités bénéficie d'une protection juridique Safe Harbor complète de la part d'iqmeta GmbH.

Séquestre du code source & garantie de continuité

Protection contre la dépendance fournisseur et le risque d'insolvabilité

  • Séquestre logiciel contractuel en Allemagne : sur demande, iqmeta GmbH dépose l'arborescence complète du code source et les chaînes de compilation reproductibles (.sln, WiX .msi, outils de packaging Linux®, schémas SQL) auprès d'un tiers séquestre allemand indépendant.
  • Conditions de SLA et de séquestre (à partir de 10 000 boîtes aux lettres) : incluses sur demande sous forme d'annexe au contrat Enterprise, avec notre SLA Enterprise contraignant à partir de 10 000 boîtes aux lettres (plus les frais de l'agent de séquestre externe), ou disponibles en avenant optionnel dans les paliers 1 à 4.
  • Aucun kill switch & formats de données ouverts : les services SMTP, IMAP, JMAP et CalDAV/CardDAV existants ne s'arrêtent jamais, même si nos serveurs de licence sont injoignables, et toutes les données résident dans PostgreSQL®/SQLite standard ainsi que dans des enregistrements RFC .eml, .ics et .vcf.
Transparence de la conformité fiscale et d'audit (GoBD allemande)

Contrôles GoBD, documentation de procédure et statut IDW PS 880 en toute transparence

Une conformité crédible exige de la précision : selon le droit fiscal allemand (BMF GoBD), la conformité est obtenue conjointement par des contrôles techniques d'immuabilité dans le logiciel et par une documentation de procédure propre à l'organisation.

1. Contrôles techniques d'immuabilité

Conservation au format d'origine des messages MIME entrants/sortants et du XML ZUGFeRD EN 16931 intégré, chaînage cryptographique par hachage SHA-256, S3 Object Lock (COMPLIANCE) ou WORM sur système de fichiers, conservation légale (Legal Hold) et rôle ComplianceAuditor sans modification.

2. Générateur intégré de documentation de procédure

Depuis la v1.1.0, l'Admin Cockpit exporte un modèle prérempli de documentation de procédure technique GoBD (.md selon GoBD Rz. 151 et suiv.) reflétant vos domaines actifs, durées de conservation, backend WORM et comptes d'auditeurs.

3. Statut IDW PS 880 transparent

À la version v1.0.0, aucun certificat d'auditeur externe selon IDW PS 880 n'a encore été délivré ; il est en cours de préparation chez iqmeta GmbH. Notre matrice de contrôles techniques est mise à la disposition des équipes de conformité sur demande.

Parcours d'évaluation Enterprise recommandé

Pourquoi nous encourageons activement des tests pilotes méthodiques

nextxch est une plateforme moderne de 2026 développée par iqmeta GmbH à Waldenbuch, près de Stuttgart (registre du commerce HRB 748338 · n° de TVA DE 294776335 · assurance responsabilité civile informatique via exali). Vérifiez chaque affirmation sur votre propre matériel :

Étape 1 : déploiement gratuit sur un domaine de test

Déployez Free (jusqu'à 6 boîtes aux lettres, gratuit pour toujours) ou demandez un essai Enterprise de 30 jours avec toutes les fonctionnalités pour un domaine de préproduction. Vérifiez ESMTP, JMAP, Webmail, CalDAV/CardDAV et exécutez vous-même run-benchmark.sh.

Étape 2 : synchronisation parallèle non destructive

Mettez en miroir les boîtes aux lettres actives depuis hMailServer, Exchange® ou Dovecot en mode delta IMAP TLS en lecture seule, sans toucher à vos enregistrements MX de production.

Étape 3 : bascule en production encadrée

Basculez les enregistrements MX avec des paquets v1.0.0 figés, une documentation de procédure GoBD exportée, la conservation S3 WORM et un support d'ingénierie direct en Allemagne (SLA contractuel à partir de 10 000 boîtes aux lettres).

FAQ gouvernance, audit et sécurité

nextxch dispose-t-il d'un certificat d'audit IDW PS 880 ?

À la version v1.0.0 (novembre 2026), la certification tierce formelle IDW PS 880 est en préparation et n'a pas encore été délivrée. Sur le plan technique, nextxch met en œuvre l'ensemble des contrôles d'immuabilité GoBD (conservation du MIME d'origine & du XML ZUGFeRD, chaînage de hachages SHA-256, S3 Object Lock WORM, Legal Hold, rôle ComplianceAuditor sans modification) et intègre un générateur pour la documentation de procédure obligatoire (GoBD Rz. 151 et suiv.).

Le séquestre du code source et un SLA Enterprise contraignant sont-ils disponibles ?

Oui. iqmeta GmbH propose un SLA Enterprise contraignant ainsi qu'un séquestre contractuel du code source et du pipeline de build reproductible en Allemagne. Les deux sont inclus sans frais de licence supplémentaires à partir de 10 000 boîtes aux lettres sous licence, le séquestre du code source étant aussi disponible en avenant payant optionnel en dessous de ce seuil. De plus, nextxch ne contient aucun kill switch : le trafic de courrier et CalDAV/CardDAV existant se poursuit indéfiniment, même si nos serveurs de licence sont injoignables.

Comment les vulnérabilités de sécurité sont-elles traitées et corrigées ?

Les signalements envoyés à security@nextxch.com (publié via RFC 9116 /.well-known/security.txt) font l'objet d'un tri humain sous 24 heures. Les vulnérabilités critiques (CVSS >= 9.0) reçoivent un correctif sous 48 heures ; les problèmes de gravité élevée (CVSS 7.0–8.9) sous 7 jours calendaires. Chaque paquet est publié avec des sommes de contrôle SHA-256 vérifiables.

Comment vérifier les benchmarks publiés de RAM et de débit ?

Téléchargez et exécutez notre banc d'essai ouvert (/downloads/run-benchmark.sh) sur votre propre VM ou serveur physique. Il enregistre les métadonnées CPU/noyau, mesure précisément la mémoire /proc VmRSS au repos et après charge, effectue des remises ESMTP parallèles avec des charges utiles XML ZUGFeRD et indique la latence de recherche p50/p95/p99.

L'interface WBXML Mobile Push est-elle affiliée à Microsoft® ou sous licence de Microsoft® ?

Non. nextxch est une implémentation clean-room 100 % indépendante, développée par iqmeta GmbH. L'interface optionnelle WBXML Mobile Push (configurable via ActiveSync:Enabled) implémente des spécifications d'interopérabilité publiquement documentées ([MS-ASHTTP]/[MS-ASCMD]/[MS-ASWBXML]) strictement à des fins d'interopérabilité avec les clients. nextxch n'est ni affilié à Microsoft®, Apple® ou Google®, ni approuvé, licencié ou certifié par eux.

Demander un essai Enterprise & la matrice de contrôles Télécharger le script de benchmark ouvert (run-benchmark.sh) Lire la comparaison équitable des systèmes