第 07 章邮件传输与防护管理：#pSpam

SpamGuard、智能灰名单、DNSBL、FTRL-ML & ClamAV 防病毒

nextxch 的入站防御将协议级检查（SPF、DKIM、DMARC、FCrDNS、DNSBL、智能灰名单）与 MIME 启发式分析、在线 FTRL 机器学习模型（当用户将邮件移入或移出垃圾邮件文件夹时自动训练）以及可选的流式 ClamAV 防病毒相结合。

运维提示与架构说明

绝不悄然丢失邮件：评分介于 JunkThreshold (4.5) 和 RejectThreshold (9.0) 之间的邮件永远不会被悄悄丢弃，而是安全地进入用户的 '垃圾邮件' 文件夹，并附带详细的 X-Spam-Status 标头。可在垃圾邮件分析器 (#pSpam) 中实时测试任意样本。

入站管道评分 & 处置级别

用户每次将邮件移入或移出 '垃圾邮件' 时，都会自然地训练该租户的 FTRL 分类器。

参考 / 配置

Score < 4.5                  -> Zustellung in Posteingang (Ham)
4.5 <= Score < 9.0           -> Zustellung in Ordner "Spam / Junk" (kein Datenverlust)
Score >= 9.0                 -> Direkte SMTP-Ablehnung mit 550 5.7.1
ClamAV Signatur-Treffer      -> Sofortige SMTP-Ablehnung mit 554 5.7.0 Malware rejected

设置、默认值与最佳实践

设置 / 位置	说明	默认值	生产环境最佳实践
`JunkThreshold & RejectThreshold (#pSpam)`	分数 >= JunkThreshold 时路由到垃圾邮件文件夹；分数 >= RejectThreshold 时立即触发 SMTP 550 5.7.1 拒收。	`Junk: 4.5 · Reject: 9.0`	4.5 / 9.0 可实现最佳平衡。请避免将 RejectThreshold 降到 7.5 以下，以便格式欠佳的合法新闻通讯进入垃圾邮件文件夹而不是被退回。
`SubjectPrefix ([SPAM])`	可选在被归类为垃圾邮件的邮件 Subject 标头前加上可见标记，例如 [SPAM]。	`Deaktiviert (Ordner-Routing)`	使用 Webmail、IMAP 或移动推送时请保持关闭，因为路由到垃圾邮件文件夹更干净，且在未标记时保留原始主题。
`Smart Greylisting (GreylistingEnabled)`	对未见过的三元组（IP /24 或 /64 前缀、MAIL FROM、RCPT TO）礼貌地发出一次性 451 临时延迟；跳过 SPF/DKIM 对齐的发件人。	`Aktiv · 240 s Wartezeit`	请保持启用！可在 DATA 传输前拦截超过 85% 的 "发完即走" 型僵尸网络，而通过 SPF/DKIM 验证的发件人会自动跳过延迟。
`DNSBL-Zonen & DnsblScore`	查询实时 IP 阻止列表，并将 DnsblScore 计入综合垃圾邮件评分，而不是在单个列表命中时就直接丢弃。	`zen.spamhaus.org, bl.spamcop.net (3.5)`	对 Spamhaus 很重要：请确保您的操作系统使用本地递归 DNS 解析器（Unbound / Windows DNS / pfSense），而不是 8.8.8.8 或 1.1.1.1 之类的公共解析器！
`ClamAV Antivirus (TCP INSTREAM)`	通过 TCP INSTREAM 将入站 MIME 负载流式传输到本地或局域网中的 clamd 守护进程，并在 SMTP 阶段以 554 5.7.0 拒收恶意软件。	`Deaktiviert · 127.0.0.1:3310`	运行 clamd（Docker sidecar 或 Linux/Windows 守护进程）时，请在 #pSpam 中使用一键 PING + EICAR 流自检验证连通性。