#pOutbound
Outbound Reputation Shield, OutboundGuard, limites ESMTP & Fail2Ban
Todo servidor de e-mail exposto à internet enfrenta duas ameaças: bots externos de credential stuffing e danos à reputação de IP/domínio de saída (causados por hard bounces repetidos, reclamações de spam, ausência de cabeçalhos de cancelamento de inscrição RFC 8058 ou contas comprometidas). O nextxch combina as principais proteções de entregabilidade dos ESPs transacionais líderes - 100% opcionais e ativáveis individualmente.
Em Reputação de saída & cotas (#pOutbound), alterne com 1 clique entre Desligado (padrão), Recomendado ou Estrito (Bulk), ou ative módulos individuais de forma seletiva. Com o domínio sandbox integrado sem tráfego *.sink.nextxch.local (ok@, bounce@, defer@, complaint@), você pode testar bounces, webhooks e supressões com segurança, sem enviar tráfego externo. Para requisitos maiores, você pode adicionalmente colocar um gateway de e-mail na frente, veja o Capítulo 09: /docs/mail-gateway/.
Reputation Shield, substituições de TLS & Fail2Ban via cockpit ou CLI
Cada proteção pode ser gerenciada ao vivo no Cockpit (#pOutbound) ou de forma declarativa via nextxch-cli.
# Reputation Shield per CLI abfragen oder als Preset aktivieren (0 ms Hot-Reload):
nextxch-cli get ReputationShield
nextxch-cli update ReputationShield --set preset=recommended
# TLS-Ausnahme für Partner-Domain mit Shared-Hosting-Zertifikats-Mismatch:
nextxch-cli create Route --set domain=neff.me --set tlsMode=StartTlsIgnoreCert --set description="Partner-MX Ausnahme"
# Brute-Force Auto-Ban Schwellenwerte in #pRules feinjustieren:
nextxch-cli update TransportRules --set autoBanThreshold=10 --set autoBanDurationMinutes=30Configurações, valores padrão e boas práticas
| Configuração / local | Descrição | Valor padrão | Boa prática para produção |
|---|---|---|---|
Suppression List & Auto-Bounce-Sperre (#pOutbound · optional) |
Registra automaticamente hard bounces 5xx, soft bounces 4xx consecutivos e cancelamentos de inscrição, descartando destinatários reconhecidamente inválidos antes do envio, sem contatar os servidores MX remotos. | Optional (Vorlage: Empfohlen) |
Protege o sender score no Gmail, Outlook e Yahoo, nunca atingindo repetidamente caixas de correio inexistentes (550). |
ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional) |
Processa automaticamente relatórios de abuso ARF (RFC 5965) recebidos e insere cabeçalhos One-Click List-Unsubscribe (RFC 8058) com DKIM oversigning e tratamento de GET/POST seguro contra scanners. | Optional (für Bulk Pflicht ab 5.000/Tag) |
Ative para as categorias marketing e notification: atende às exigências de remetentes em massa do Google/Yahoo e mantém as prévias GET imunes a scanners de links corporativos. |
24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional) |
Aciona um disjuntor automático quando as taxas de bounce (>5%) ou de reclamação (>0,2%) nas últimas 24 h disparam, e aplica pausas adaptativas por domínio em respostas de limite de taxa 421/451. | Optional (critical/2FA ausgenommen) |
Mantenha AllowCriticalWhenTripped ativado para que códigos 2FA e redefinições de senha continuem fluindo mesmo que um lote de marketing ruim acione o disjuntor. |
DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional) |
Verifica seu IPv4 de saída em 5 grandes DNSBLs, envia webhooks de bounce/reclamação assinados com HMAC-SHA256 ao seu CRM/ERP e simula resultados via *.sink.nextxch.local. | sink.nextxch.local aktiv |
Aponte os testes de staging/CI para ok@, bounce@, defer@ e complaint@sink.nextxch.local para testes realistas de bounce & webhook sem nenhum tráfego de internet. |
Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules) |
Bloqueia IPs de força bruta em SMTP, IMAP, POP3, Webmail, ActiveSync e DAV (8 falhas -> bloqueio de 30 min), enquanto retarda scanners de dicionário via tarpit SMTP (1500 ms). | Aktiv · 1500 ms Tarpit |
Deixe ativo, coloque os IPs estáticos de saída do escritório/VPN na lista de permissões em #pRules e mantenha as caixas de correio pessoais comuns protegidas pelos limites OutboundGuard por conta. |