エンタープライズの信頼性、成熟度 & ガバナンス

CIO、CISO、コンプライアンス監査担当者のための検証可能な事実

メールとグループウェアは企業インフラストラクチャの中核です。ここでは、リリース履歴、RFC 9116 に基づく脆弱性対応、ソースコード エスクロー、GoBD/IDW PS 880 準拠の範囲、再現可能なベンチマークについて、ありのままのドキュメントを公開しています。

検証可能な開発サイクル

リリース履歴 & 公開変更履歴

すべてのリリースは、プロトコル、暗号、マルチエンジン (SQLite WAL、PostgreSQL® & Microsoft® SQL Server®) の自動統合テスト スイートに合格し、検証可能な SHA-256 ダイジェスト付きで提供されます。

nextxch 1.0.0 · 最初の正式リリース

1.0.0 · 03.11.2026

ライセンス区分: Free は 6 メールボックスまで永久無料、Business は 7 メールボックスから、Enterprise は 15 メールボックスからで Microsoft プロトコルはご要望に応じて提供、30 日間の Enterprise トライアルもご要望に応じて提供します。ライセンス条項 (EULA) バージョン 2.3。

  • プロトコル: ストリーミング ESMTP (BDAT/CHUNKING、SNI STARTTLS)、IMAP4rev2、POP3、ManageSieve、プッシュとファイル (FileNode) に対応した JMAP、差分同期対応の CalDAV/CardDAV、MTA-STS と DANE、Happy Eyeballs 配信による本格的な IPv6 デュアルスタック。Enterprise: ActiveSync® (12.1 から 16.1、プッシュ)、EWS、MAPI over HTTP、Autodiscover。
  • Webmail: カレンダー (月、週、日、予定一覧)、招待、例外付きの定期予定、空き時間表示付きのスケジュール アシスタント、会議室、予約ページ、Teams 会議を備えた PWA。写真と全項目に対応した連絡先、メモとタスク。S/MIME と OpenPGP、代理送信と送信者として送信に対応した共有、ソースとヘッダーの表示、フィッシングの確認と報告、切り替え可能なメール表示レイアウト。
  • 管理画面: 8 つの領域と検索を備えたサイドバー、アカウント・ドメイン・エイリアス・リストのエディター、ドメイン名の変更、ディープリンク、ライブビューア付きのプロトコルログ、30 日間の統計、message trace、SpamGuard と ClamAV のパネル、MX・STARTTLS・DANE テスター、外部からのポートと PTR の確認、再起動不要のホスト名変更、必須署名、リンク・QR・WhatsApp による招待、SHA-256 検証付きのワンクリック更新。
  • セキュリティ: Argon2id、2FA、パスキー、アプリ パスワード、OIDC、Kerberos SSO (Business 以上)、独自の OAuth 2.1 サーバー (XOAUTH2、OAUTHBEARER、デバイスコード)。デュアル DKIM (Ed25519 と RSA)、すべての受信メールに対する SPF/DKIM/DMARC、フィッシング ヒューリスティック、ログイン履歴、デバイスごとにサインアウトできるセッション、IP の国表示、セルフサービスによるブロック解除、Web Key Directory、CSP と HSTS。
  • コンプライアンス: S3 Object Lock (COMPLIANCE) による GoBD アーカイブと Object Lock 未設定時の警告、GoBD 手続き文書の生成機能、MIME・PDF・ZUGFeRD/XRechnung・OCR を対象とした全文検索 (ドイツ語の語幹、ウムラウト、複合語、入力ミスの補正に対応)、DMARC と TLS-RPT のレポート、Encrypted File Share。
  • クラスターと運用: SQLite WAL、Redis 不要の PostgreSQL® 18 アクティブ/アクティブ、Microsoft® SQL Server® (2019 から 2025、Express、Azure® SQL)。組み込みの DNS フェイルオーバー (Hetzner、Cloudflare)、ノードごとの EHLO 名、ストレージ障害時の一時エラー (SMTP 4xx)、Let's Encrypt、Prometheus 用 /metrics。パッケージは Windows® .msi、.deb、Linux® と macOS® 用 .tar.gz、マルチアーキテクチャ OCI イメージ、Helm チャート。
  • 連携: カレンダー、会議室、予約、連絡先、ディレクトリ、共有のための API v1 (スコープ付き API キーまたは OAuth 2.0)、署名付き Webhook、OpenAPI 3.1。IP ウォーミングとプロバイダー別上限を備えたトランザクション送信 API、オプションの Reputation Shield、スマートホスト ルート。nextxch-cli、ファイルによる構成 (GitOps)、Sieve ルールの AI 条件 (Business 以上)、SCIM 2.0。Exchange® 2013 から 2019 からの移行、PST と hMailServer のインポート。
  • 言語: Webmail、管理画面、システムメール、Web サイトを 10 言語で提供 (右から左に書くアラビア語を含む)。世界地図によるタイムゾーン選択。

脆弱性の開示とパッチ適用目標 (RFC 9116)

/.well-known/security.txt · security@nextxch.com

  • セキュリティ エンジニアへの直接連絡: security@nextxch.com に送られた報告は、iqmeta GmbH のコア エンジニアリング チームに直接届きます。
  • エンジニアリングのトリアージとパッチ目標: エンジニアリングの目標は、担当者による受領確認を < 24 時間以内、Critical の問題 (CVSS v4.0 >= 9.0) の修正リリースを < 48 時間以内、High の問題 (CVSS 7.0-8.9) を < 7 暦日以内とすることです。契約上拘束力のあるサポート SLA は、10,000 ライセンス メールボックスから含まれます。
  • 単一コマンドによるインプレース パッチ適用: 毎月のメンテナンス リリースは、install.sh --update、Windows® .msi アップグレード ウィザード、または固定したコンテナー タグにより数秒で確実に適用できます。
  • セーフ ハーバー: 協調的な脆弱性開示 (Coordinated Vulnerability Disclosure) のもとで善意に行われたセキュリティ研究には、iqmeta GmbH による完全な法的セーフ ハーバーが適用されます。

ソースコード エスクローと継続性の保証

ベンダー ロックインと倒産リスクへの備え

  • ドイツでの契約に基づくソフトウェア エスクロー: 要望に応じて、iqmeta GmbH は完全なソース ツリーと再現可能なビルド ツールチェーン (.sln、WiX .msi、Linux® パッケージャー、SQL スキーマ) を独立したドイツのエスクロー エージェントに寄託します。
  • SLA とエスクローの条件 (10,000 メールボックスから): 10,000 メールボックス以上で適用される拘束力のある Enterprise SLA とあわせて、Enterprise 契約の付属書としてご要望に応じて提供します (外部エスクロー エージェントの手数料は別途)。Tier 1-4 では任意の追加条項として利用できます。
  • キルスイッチなし & オープンなデータ形式: 当社のライセンス サーバーに到達できない場合でも、既存の SMTP、IMAP、JMAP、CalDAV/CardDAV サービスが停止することはありません。すべてのデータは標準の PostgreSQL®/SQLite と RFC 準拠の .eml、.ics、.vcf レコードに格納されます。
税務 & 監査コンプライアンスの透明性 (ドイツ GoBD)

GoBD 統制、手続文書、IDW PS 880 の正直な現状

信頼できるコンプライアンスには正確さが求められます。ドイツの税法 (BMF GoBD) の下では、コンプライアンスはソフトウェアによる技術的な改ざん防止の統制と、組織固有の手続文書の両方によって達成されます。

1. 技術的な改ざん防止の統制

受信/送信 MIME メッセージと埋め込まれた EN 16931 ZUGFeRD XML の原本形式での保持、SHA-256 による暗号学的ハッシュ チェーン、S3 Object Lock (COMPLIANCE) またはファイル システム WORM、リーガル ホールド、データを変更しない ComplianceAuditor ロール。

2. 組み込みの手続文書ジェネレーター

v1.1.0 以降、管理コックピットは、稼働中のドメイン、保持期間、WORM バックエンド、監査担当者アカウントを反映した、記入済みの技術的な GoBD 手続文書テンプレート (GoBD Rz. 151 以下に準拠した .md) をエクスポートします。

3. IDW PS 880 の透明なステータス

v1.0.0 の時点で、IDW PS 880 に基づく外部監査人の証明書はまだ発行されておらず、現在 iqmeta GmbH で準備中です。当社の技術的管理策マトリックスは、ご依頼に応じてコンプライアンス チームに提供します。

推奨される Enterprise の評価手順

体系的なパイロット テストを積極的にお勧めする理由

nextxch は、シュトゥットガルト近郊ヴァルデンブーフの iqmeta GmbH が開発した 2026 年の最新プラットフォームです (商業登記 HRB 748338 · VAT ID DE 294776335 · exali による IT 賠償責任保険加入済み)。すべての記述をお客様自身のハードウェアで検証してください:

ステップ 1: 無料のテスト ドメインでの導入

Free (6 メールボックスまで、永久無料) を導入するか、ステージング ドメイン向けに全機能を利用できる 30 日間 Enterprise トライアルをお申し込みください。ESMTP、JMAP、Webmail、CalDAV/CardDAV を検証し、run-benchmark.sh をご自身で実行できます。

ステップ 2: 非破壊の並行同期

本番環境の MX レコードに手を加えることなく、hMailServer、Exchange®、Dovecot の稼働中のメールボックスを読み取り専用の TLS IMAP 差分モードでミラーリングします。

ステップ 3: 管理された本番切り替え

固定した v1.0.0 パッケージ、エクスポートした GoBD 手続文書、S3 WORM 保持、ドイツのエンジニアによる直接サポート (10,000 メールボックスから契約上の SLA) を利用して、MX レコードを切り替えます。

ガバナンス、監査、セキュリティに関する FAQ

nextxch は IDW PS 880 の監査証明書を取得していますか?

v1.0.0 (2026 年 11 月) 時点で、正式な IDW PS 880 の第三者認証は準備中であり、まだ発行されていません。技術的には、nextxch は GoBD の不変性管理を完全に実装しており (元の MIME & ZUGFeRD XML の保持、SHA-256 ハッシュ チェーン、S3 Object Lock WORM、リーガル ホールド、変更権限のない ComplianceAuditor ロール)、必須の手続文書 (GoBD Rz. 151 ff.) の生成機能を内蔵しています。

ソースコード エスクローと拘束力のある Enterprise SLA は利用できますか?

はい。iqmeta GmbH は、拘束力のある Enterprise SLA と、ドイツでの契約に基づくソースコードおよび再現可能なビルド パイプラインのエスクローを提供しています。どちらも 10,000 ライセンス メールボックス以上で追加ライセンス料金なしで含まれ、それ未満でもソースコード エスクローを有償のオプション付属契約として利用できます。さらに、nextxch にはハードなキル スイッチはありません。当社のライセンス サーバーに到達できなくなっても、既存のメールおよび CalDAV/CardDAV のトラフィックは無期限に継続します。

セキュリティの脆弱性はどのように扱われ、修正されますか?

security@nextxch.com 宛てに送られた報告 (RFC 9116 /.well-known/security.txt で公開) は、24 時間以内に担当者がトリアージします。重大な脆弱性 (CVSS >= 9.0) には 48 時間以内に、重要度の高い問題 (CVSS 7.0-8.9) には 7 暦日以内に修正プログラムを提供します。すべてのパッケージは検証可能な SHA-256 チェックサム付きで公開されます。

公開されている RAM とスループットのベンチマークはどのように検証できますか?

オープンなベンチマーク ハーネス (/downloads/run-benchmark.sh) をダウンロードし、ご自身の VM またはベアメタル サーバーで実行してください。CPU / カーネルのメタデータを記録し、/proc の VmRSS でアイドル時と負荷後のメモリを正確に測定し、ZUGFeRD XML ペイロードを使った並列 ESMTP 配信を実行して、検索レイテンシの p50/p95/p99 を報告します。

WBXML モバイル プッシュ インターフェイスは Microsoft® と提携している、または Microsoft® からライセンスを受けていますか?

いいえ。nextxch は iqmeta GmbH が開発した 100% 独立したクリーンルーム実装です。オプションの WBXML モバイル プッシュ インターフェイス (ActiveSync:Enabled で設定可能) は、クライアントとの相互運用性のためだけに、公開されている相互運用性仕様 ([MS-ASHTTP]/[MS-ASCMD]/[MS-ASWBXML]) を実装しています。nextxch は Microsoft®、Apple®、Google® と提携関係になく、これらの企業による承認、ライセンス供与、認定も受けていません。