第 08 章邮件传输与防护管理：#pOutbound

外发信誉保护（Reputation Shield）、OutboundGuard、ESMTP 限制 & Fail2Ban

每台面向互联网的邮件服务器都面临两大威胁：外部的撞库机器人，以及受损的出站 IP/域信誉（由反复硬退信、垃圾邮件投诉、缺少 RFC 8058 退订邮件头或账户被盗用引起）。nextxch 集成了领先事务性 ESP 的核心送达率防护措施，100% 可选且可逐项开关。

运维提示与架构说明

在“出站信誉与配额”(#pOutbound) 中，可一键在关闭（默认）、推荐或严格（批量）之间切换，也可以有选择地启用单个模块。借助内置的零流量沙盒域 *.sink.nextxch.local（ok@、bounce@、defer@、complaint@），您可以安全地测试退信、webhook 和抑制列表，而不会产生外部流量。如有更高要求，还可以在前面部署邮件网关，参见第 09 章：/docs/mail-gateway/。

通过控制台或 CLI 配置 Reputation Shield、TLS 覆盖 & Fail2Ban

每项防护措施都可以在管理控制台 (#pOutbound) 中实时管理，也可以通过 nextxch-cli 以声明方式管理。

参考 / 配置

# Reputation Shield per CLI abfragen oder als Preset aktivieren (0 ms Hot-Reload):
nextxch-cli get ReputationShield
nextxch-cli update ReputationShield --set preset=recommended

# TLS-Ausnahme für Partner-Domain mit Shared-Hosting-Zertifikats-Mismatch:
nextxch-cli create Route --set domain=neff.me --set tlsMode=StartTlsIgnoreCert --set description="Partner-MX Ausnahme"

# Brute-Force Auto-Ban Schwellenwerte in #pRules feinjustieren:
nextxch-cli update TransportRules --set autoBanThreshold=10 --set autoBanDurationMinutes=30

设置、默认值与最佳实践

设置 / 位置	说明	默认值	生产环境最佳实践
`Suppression List & Auto-Bounce-Sperre (#pOutbound · optional)`	自动记录 5xx 硬退信、连续 4xx 软退信和退订，在接触远程 MX 服务器之前于发送前剔除已知失效的收件人。	`Optional (Vorlage: Empfohlen)`	从不反复投递到不存在的 550 邮箱，从而保护您在 Gmail、Outlook 和 Yahoo 的发件人评分。
`ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional)`	自动接收入站的 RFC 5965 ARF 滥用报告，并注入经 DKIM 超签的 RFC 8058 一键退订 List-Unsubscribe 标头，以对扫描器安全的方式处理 GET/POST。	`Optional (für Bulk Pflicht ab 5.000/Tag)`	为 marketing 和 notification 类别启用：满足 Google/Yahoo 批量发件人要求，同时使 GET 预览不受企业链接扫描器影响。
`24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional)`	当滚动 24 小时退信率（>5%）或投诉率（>0.2%）激增时自动触发熔断器，并在收到 421/451 速率限制响应时按域应用自适应冷却。	`Optional (critical/2FA ausgenommen)`	请保持 AllowCriticalWhenTripped 启用，这样即使一批有问题的营销邮件触发了熔断器，2FA 验证码和密码重置邮件仍可继续发送。
`DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional)`	根据 5 个主要 DNSBL 检查您的出站 IPv4，向您的 CRM/ERP 发送 HMAC-SHA256 签名的退信/投诉 webhook，并通过 *.sink.nextxch.local 模拟结果。	`sink.nextxch.local aktiv`	将预发布/CI 测试指向 ok@、bounce@、defer@ 和 complaint@sink.nextxch.local，即可在零互联网流量下真实地测试退信 & webhook。
`Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules)`	在 SMTP、IMAP、POP3、Webmail、ActiveSync 和 DAV 上封禁暴力破解 IP（失败 8 次 -> 封禁 30 分钟），同时通过 SMTP tarpit（1500 ms）拖慢字典扫描器。	`Aktiv · 1500 ms Tarpit`	保持启用，在 #pRules 中将固定的办公室/VPN 出口 IP 加入白名单，并通过按账户的 OutboundGuard 限额保护普通人员邮箱。