Capítulo 06 Transporte de e-mail & defesa Admin: #pSmtpQueue

Fila SMTP, agenda de novas tentativas, limitação por ISP, smart host & testador de MX ao vivo

O mecanismo de entrega de saída resolve registros MX, aplica políticas MTA-STS e DANE TLSA, suporta STARTTLS oportunista conforme RFC 7435 para peers MX de hospedagem compartilhada, aplica assinaturas Dual-DKIM e gerencia automaticamente novas tentativas após adiamentos 4xx.

Dica operacional & nota de arquitetura

Use o testador ao vivo integrado de MX de saída, STARTTLS & DANE (#pSmtpQueue) sempre que um domínio parceiro relatar problemas: ele executa um handshake real e não destrutivo de TCP, EHLO, STARTTLS e DANE TLSA contra os servidores MX dele, sem enviar nenhum e-mail.

Segurança do transporte de saída: TLS oportunista vs. obrigatório

Como o nextxch equilibra automaticamente a autenticação criptográfica rigorosa com a compatibilidade com MX de hospedagem compartilhada.

Referência / configuração

1. Ziel-Domain hat DANE TLSA oder MTA-STS (mode: enforce):
   -> Strikte Zertifikats- & Hostname-Prüfung (Pflicht-TLS, kein Fallback).
2. Standard Port-25-MX ohne MTA-STS/DANE (Opportunistic STARTTLS, RFC 7435):
   -> Verschlüsselt per TLS 1.3/1.2 auch dann, wenn ein Shared-Hoster-MX
      ein Zertifikat auf seinen Provider-Namen präsentiert (kein unnötiger Bounce).
3. Domain-Policy RequireOutboundTls = true:
   -> Erzwingt striktes TLS für besonders schützenswerte Partner-Domains.

Configurações, valores padrão e boas práticas

Configuração / local	Descrição	Valor padrão	Boa prática para produção
`RetryScheduleMinutes`	Intervalos de backoff separados por vírgula, em minutos, quando um MX remoto retorna um adiamento temporário 4xx (como greylisting ou limitação temporária).	`5, 15, 60, 240, 720, 1440`	Mantenha o padrão (a primeira nova tentativa após 5m supera rapidamente o greylisting remoto; as etapas progressivas cobrem ~41 horas antes de gerar um bounce DSN final).
`OutboundWorkerConcurrency`	Número máximo de workers simultâneos de entrega SMTP de saída em todos os domínios de destino.	`4 Worker`	4 a 8 workers atendem ao tráfego típico de PMEs; escale para 12-24 em picos de faturamento transacional de alto volume.
`MaxConnectionsPerMxIp & RatePerMinute`	Limita sessões TCP simultâneas e mensagens/minuto por IP/domínio do MX de destino para evitar adiamentos 421 por limite de taxa nos grandes ISPs.	`2 Verbindungen · 60/Min.`	Mantenha limites conservadores (2 conexões simultâneas, 30-60 mensagens/min), especialmente ao aquecer um endereço IP novo.
`Globaler Smart-Host & Domain-Routen`	Roteia todos os e-mails de saída por um relay upstream (quando o ISP bloqueia a porta TCP 25) ou domínios específicos para gateways internos de ERP/DMS/parceiros.	`Direkter MX-Versand (leer)`	Prefira a entrega direta via MX sempre que a porta TCP 25 estiver aberta e o PTR estiver alinhado; use um smart host em VMs de nuvem nas quais a porta 25 de saída esteja bloqueada.
`Zertifikatsprüfung & TLS-Ausnahmen (RemoteCertificateNameMismatch)`	Configura globalmente (Opportunistic, IgnoreErrors, Strict) ou por domínio de destino (TargetHost vazio = Auto DNS-MX + StartTlsIgnoreCert) se o e-mail é entregue criptografado apesar de divergências de hostname no certificado do MX remoto.	`Opportunistic (RFC 7435)`	Mantenha 'Opportunistic' como padrão; sob políticas rígidas, libere domínios parceiros específicos com 1 clique diretamente na fila ativa via StartTlsIgnoreCert.