Capitolo 06 Trasporto posta & difesa Admin: #pSmtpQueue

Coda SMTP, pianificazione dei tentativi, throttling ISP, smart host & tester MX live

Il motore di recapito in uscita risolve i record MX, applica le policy MTA-STS e DANE TLSA, supporta STARTTLS opportunistico RFC 7435 per gli MX peer di shared hosting, applica firme Dual-DKIM e gestisce automaticamente i nuovi tentativi per i rinvii 4xx.

Suggerimento operativo & nota sull'architettura

Utilizzare l'Outbound MX, STARTTLS & DANE Live Tester integrato (#pSmtpQueue) ogni volta che un dominio partner segnala problemi: esegue un vero handshake TCP, EHLO, STARTTLS e DANE TLSA non distruttivo verso i suoi server MX senza inviare alcuna e-mail.

Sicurezza del trasporto in uscita: TLS opportunistico o obbligatorio

Come nextxch bilancia automaticamente un'autenticazione crittografica rigorosa con la compatibilità verso gli MX di shared hosting.

Riferimento / configurazione

1. Ziel-Domain hat DANE TLSA oder MTA-STS (mode: enforce):
   -> Strikte Zertifikats- & Hostname-Prüfung (Pflicht-TLS, kein Fallback).
2. Standard Port-25-MX ohne MTA-STS/DANE (Opportunistic STARTTLS, RFC 7435):
   -> Verschlüsselt per TLS 1.3/1.2 auch dann, wenn ein Shared-Hoster-MX
      ein Zertifikat auf seinen Provider-Namen präsentiert (kein unnötiger Bounce).
3. Domain-Policy RequireOutboundTls = true:
   -> Erzwingt striktes TLS für besonders schützenswerte Partner-Domains.

Impostazioni, valori predefiniti e best practice

Impostazione / posizione	Descrizione	Valore predefinito	Best practice per la produzione
`RetryScheduleMinutes`	Intervalli di backoff in minuti, separati da virgole, quando un MX remoto restituisce un rinvio temporaneo 4xx (ad esempio greylisting o throttling temporaneo).	`5, 15, 60, 240, 720, 1440`	Mantenere il valore predefinito (il primo nuovo tentativo dopo 5 min supera rapidamente il greylisting remoto; i passi progressivi coprono ~41 ore prima di generare un bounce DSN definitivo).
`OutboundWorkerConcurrency`	Numero massimo di worker simultanei di recapito SMTP in uscita su tutti i domini di destinazione.	`4 Worker`	Da 4 a 8 worker sono adatti al traffico tipico delle PMI; scalare a 12-24 per picchi elevati di fatturazione transazionale.
`MaxConnectionsPerMxIp & RatePerMinute`	Limita le sessioni TCP simultanee e i messaggi/minuto per IP/dominio MX di destinazione, per evitare i rinvii per rate limit 421 presso i grandi ISP.	`2 Verbindungen · 60/Min.`	Mantenere limiti prudenti (2 connessioni simultanee, 30-60 messaggi/min), soprattutto durante il warming di un nuovo indirizzo IP.
`Globaler Smart-Host & Domain-Routen`	Instrada tutta la posta in uscita tramite un relay upstream (quando l'ISP blocca la TCP 25) oppure domini specifici verso gateway interni ERP/DMS/partner.	`Direkter MX-Versand (leer)`	Preferire il recapito MX diretto ogni volta che la TCP 25 è aperta e il PTR è allineato; usare uno smart host sulle VM cloud in cui la porta 25 in uscita è bloccata.
`Zertifikatsprüfung & TLS-Ausnahmen (RemoteCertificateNameMismatch)`	Configura a livello globale (Opportunistic, IgnoreErrors, Strict) o per dominio di destinazione (TargetHost vuoto = Auto DNS-MX + StartTlsIgnoreCert) se la posta viene recapitata crittografata nonostante una mancata corrispondenza del nome host nel certificato dell'MX remoto.	`Opportunistic (RFC 7435)`	Mantenere 'Opportunistic' come impostazione predefinita; con policy rigorose, inserire nell'elenco consentiti specifici domini partner con 1 clic direttamente dalla coda attiva tramite StartTlsIgnoreCert.