nextxch Dokumentation
Übersichtlich gegliedertes Nachschlagewerk für Installation, DNS, Sicherheit, Groupware, CLI-Automatisierung und Betrieb: Jedes Kapitel erklärt kompakt die Funktionsweise, exakte Standardwerte und bewährte Best Practices für den Produktivbetrieb.
Erste Schritte
Vom leeren Windows-, Linux- oder Docker-Host bis zur Firewall-Port-Matrix.
Geführte Installation (8 Schritte)
Interaktive Vorab-Checkliste, Windows (.msi), Linux (systemd) & Docker inklusive Symptom-Troubleshooting.
Architektur & Port-Matrix
nextxch bündelt ESMTP, IMAP4rev2, POP3, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA und GoBD-Archivierung in einem einzigen n...
Netzwerk, DNS & Kryptografie
10/10 Zustellbarkeit mit FCrDNS/PTR, Dual-DKIM, IPv6, pfSense & Let's Encrypt DANE.
DNS (10/10), PTR & Autodiscover
Große Provider wie Gmail, Microsoft 365, t-online und GMX/Web.de bewerten die Zustellbarkeit maßgeblich anhand konsistenter DNS-Einträge. Im Bereic...
Dual-Stack IPv6 & Happy-Eyeballs
Sämtliche TCP-Listener (ESMTP 25/465/587, IMAP 143/993 und ManageSieve 4190) sowie Kestrel arbeiten standardmäßig im echten Dual-Stack-Modus ([::]...
pfSense, OPNsense & SSL-Gateways
In vielen Unternehmensnetzen laufen Webserver und nextxch in getrennten VLANs oder VMs hinter derselben Firewall (z. B. pfSense, OPNsense, Sophos)...
Let's Encrypt, MTA-STS, DANE & BIMI
nextxch verwaltet TLS-Zertifikate vollautomatisch über Let's Encrypt ACME v2 und lädt erneuerte Zertifikate ohne Verbindungsabbruch (0 ms SNI Hot-R...
Mail-Transport & Abwehr
SMTP-Queue, Live-MX-Tester, SpamGuard ML, Greylisting, ClamAV, Fail2Ban & vorgeschaltetes Mail-Gateway.
SMTP-Queue, Smart-Host & MX-Tester
Die ausgehende Zustell-Engine löst MX-Records parallel auf, prüft MTA-STS sowie DANE-TLSA-Einträge, unterstützt opportunistisches STARTTLS gemäß RF...
SpamGuard, Greylisting & ClamAV
Die mehrstufige Eingangs-Pipeline kombiniert Protokoll-Vorprüfungen (SPF, DKIM, DMARC, FCrDNS, DNSBL, Smart Greylisting) mit struktureller MIME-Heu...
KI in Sieve-Regeln
Posteingangsregeln und das System-Sieve können ein Sprachmodell fragen und abhängig von der Antwort verschieben, markieren oder weiterleiten. Zwei...
Reputation Shield, ESMTP-Limits & Fail2Ban
Zwei Gefahren bedrohen jeden Mailserver im Internet: Brute-Force-Angriffe von außen und eine beschädigte IP-/Domain-Reputation nach innen (z. B. du...
Proxmox Mail Gateway vorschalten
Ein vorgeschaltetes Mail-Gateway nimmt alle Mails aus dem Internet an, prüft sie mit einer zweiten, unabhängigen Antispam- und Antivirus-Engine und...
Milter & MTA-Hooks
Vorhandene Filter lassen sich direkt in den SMTP-Dialog einhängen: Milter sprechen das Sendmail-Milter-Protokoll Version 6 (Rspamd über den Milter-...
Clients, Groupware & CLI
WhatsApp-sicheres iPhone-Setup, Outlook für Windows, Webmail-Kalender & Kontakte, API-Keys & CLI.
iPhone-, Smartphone- & WhatsApp-Setup
Neue Mitarbeiter sollen ihr Postfach samt Kalender, Kontakten und Notizen in unter 30 Sekunden einrichten können, ohne Servernamen, Ports oder ihr...
Webmail, Kalender (CalDAV) & Kontakte
Im Gegensatz zu reinen Protokoll-Backends bringt nextxch eine schnelle, offline-fähige Webmail-PWA (/mail/) inklusive vollwertigem Groupware-Kalend...
Outlook für Windows einrichten
Microsoft Outlook für Windows verbindet sich mit nextxch über IMAP (Empfang) und SMTP (Versand). Das gilt für das klassische Outlook (Microsoft 365...
nextxch-cli: Befehle, Filter & IaC
Mit nextxch-cli steuern Sie Domains, Postfächer, Verteilerlisten, Aliase, Scoped API-Keys, ausgehende SMTP-Routen (inkl. TLS-Ausnahmen), IP-Warming...
Konfiguration als Datei (GitOps)
Der gesamte Server-Zustand als YAML-Dateien in Git: Mandanten, Domains (DKIM-Selektoren, MTA-STS, Routing), Postfächer mit Aliasen, Weiterleitung u...
API & CLI Objekt-Schema (Alle Felder)
Dieses Nachschlagewerk dokumentiert jedes einzelne JSON-Feld, jeden Datentyp, alle Enum-Werte, Standardwerte und Mindest-Rollen (RBAC) für sämtlich...
API-Keys, Sende-API & SSO
Shops, Ticketsysteme, ERP-Lösungen und CI/CD-Pipelines sollten niemals das persönliche Passwort eines Mitarbeiters mitbenutzen. Unter API-Keys, SSO...
LDAP, AD, Entra ID & SSO
Unter Admin > Identitätsquellen hängen Sie einen Mandanten oder einzelne Domains an ein Active Directory bzw. LDAP (Anmeldung per Bind, Abgleich vo...
Kerberos-SSO (Windows-Anmeldung)
Mit Kerberos melden sich Windows-PCs im Firmennetz ohne Passwortabfrage an: Webmail und Admin per SPNEGO ("Mit Windows-Anmeldung anmelden"), Outloo...
OAuth für Thunderbird, Outlook & CLI
nextxch ist ein eigener OAuth-2.1-Autorisierungsserver: Mail-Programme melden sich im Browser über das normale Webmail-Login an (inklusive 2FA und...
Compliance, Storage & Betrieb
Nachrichtenverfolgung, GoBD-WORM-Archiv, SQLite / SQL Server / PostgreSQL 18 & Updates.
Message Trace & GoBD-WORM-Archiv
Wenn ein Kunde anruft ('Meine Rechnung kam nicht an!'), zählt jede Sekunde. Die Nachrichtenverfolgung (#pMessageTrace) zeigt Ihnen sofort mit Zeits...
Datenbanken, Cluster & Updates
nextxch trennt strukturierte Metadaten und Volltext-Indizes sauber von deduplizierten, Zstandard-komprimierten Roh-Nachrichten (-62 % Speicherbedar...
Betriebs-Dashboard & Alarme
Das Betriebs-Dashboard (#pOps) zeigt live und als 24-Stunden-Verlauf: Mails pro Minute ein und aus, zurückgestellte und unzustellbare Mails, Spam-Q...
Kurzreferenz: Die 5 eingehenden Pflicht-Ports
Zusätzlich muss ausgehender TCP-Port 25 für die direkte MX-Zustellung ins Internet geöffnet sein.
TCP 25ESMTP MX Empfang & VersandTCP 443HTTPS: Webmail, Admin, DAV, PushTCP 465SMTPS Client-Versand (TLS)TCP 587Submission (STARTTLS)TCP 993IMAPS Postfach & IDLE PushHäufige Fragen aus der Admin-Praxis
Welche Ports müssen in der Firewall zwingend für nextxch geöffnet sein?
Für den vollständigen E-Mail-, Webmail-, Mobile-Push- und Groupware-Betrieb sind genau 5 eingehende TCP-Ports erforderlich: 25 (ESMTP MX Empfang), 443 (HTTPS für Webmail, Admin, JMAP, CalDAV/CardDAV & Mobile Push), 465 (SMTPS Einlieferung), 587 (Submission STARTTLS) und 993 (IMAPS). Optional kommen Port 80 (Let's Encrypt HTTP-01), 143 (IMAP STARTTLS), 4190 (ManageSieve) sowie 995 (POP3S) und 110 (POP3 STLS) hinzu, falls POP3 aktiviert ist. Zusätzlich muss ausgehender TCP-Port 25 ins Internet frei sein.
Warum meldet ein externer Port-Checker hinter einer pfSense oder einem SSL-Gateway manchmal Timeout?
Wenn Webserver und Mailserver im selben Netz hinter einer gemeinsamen Firewall (z. B. pfSense, OPNsense oder Sophos) liegen und ein Dienst die öffentliche WAN-IP prüft, verwirft die Firewall Pakete ohne aktives NAT-Reflection (Hairpin-NAT). Ab v1.2.4 erkennt nextxch dieses Gateway-Szenario automatisch per Split-Path-Probe und zeigt den echten Portstatus an. Best Practice im eigenen LAN sind Split-DNS (Host-Overrides) oder Pure-NAT-Reflection.
Wie versende ich ein iPhone- oder Smartphone-Einrichtungsprofil sicher per WhatsApp oder Teams?
Über Konten & Verteiler -> Smartphone einrichten im Admin-Cockpit (oder in den Webmail-Einstellungen) erzeugt nextxch einen geschützten 24-Stunden-Einladungslink (/onboarding/setup/{token}) samt isoliertem Geräte-App-Passwort. Vorschau-Crawler von WhatsApp, Signal, Telegram oder Teams verbrauchen den Token nicht; öffnet der Empfänger den Link im In-App-Browser, führt ein Hinweisbanner direkt in Safari zum 1-Klick-Profil-Download.
Welche SpamGuard-Schwellenwerte sind für den Produktivbetrieb empfohlen?
Der Standardwert von 4,5 Punkten für die Junk-Zustellung (JunkThreshold) und 9,0 Punkten für die direkte SMTP-Ablehnung (RejectThreshold) kombiniert mit Smart Greylisting (240 s auf /24- bzw. /64-Netzpräfix) hat sich im Unternehmensalltag bewährt: Seriöse Erstsender bestehen den kurzen Retry automatisch, während Botnetze abgewiesen werden, ohne wichtige Geschäftspost unbemerkt zu löschen.
Welche Datenbank-Engine sollte ich wählen: SQLite WAL, Microsoft SQL Server oder PostgreSQL 18?
Bis etwa 250 aktive Postfächer auf einem einzelnen Server ist SQLite WAL ohne jeglichen Pflegeaufwand extrem schnell. In Windows-Umgebungen mit vorhandenem Microsoft SQL Server (2019-2025, Express oder Azure SQL) integriert sich nextxch nativ inklusive Cluster-Locks. Für Linux-basierte Active-Active-Cluster und sehr große Installationen ist PostgreSQL 18 mit LISTEN/NOTIFY ideal.