Kapitel 08 Mail-Transport & Abwehr Admin: #pOutbound

Outbound Reputation Shield, OutboundGuard, ESMTP-Limits & Fail2Ban

Zwei Gefahren bedrohen jeden Mailserver im Internet: Brute-Force-Angriffe von außen und eine beschädigte IP-/Domain-Reputation nach innen (z. B. durch veraltete Empfängerlisten mit Hard-Bounces, fehlende RFC-8058-Abmelde-Header oder ein kompromittiertes Konto). SharpMailserver vereint die wichtigsten Reputations-Schutzmechanismen großer Transaktions-Anbieter - 100 % optional und einzeln zuschaltbar.

Praxis-Tipp & Architektur-Hinweis

Unter Outbound Reputation & Kontingente (#pOutbound) wählst du mit 1 Klick zwischen Aus (Standard), Empfohlen oder Streng (Bulk) - oder aktivierst gezielt nur einzelne Module. Mit der kostenfreien Test-Domain *.sink.sharpmail.local (ok@, bounce@, defer@, complaint@) testest du Bounces, Webhooks und Suppression-Listen komplett ohne echten Internet-Versand.

Reputation Shield, Sandbox-Sink & IP-Allowlist per Cockpit oder CLI

Alle Schutzmodule lassen sich live im Cockpit (#pOutbound) oder deklarativ per sharpmail-cli steuern.

Referenz / Konfiguration

# Reputation Shield per CLI abfragen oder gezielt aktivieren (0 ms Hot-Reload):
sharpmail-cli get ReputationShield singleton
sharpmail-cli update ReputationShield singleton --set enableSuppressionPreCheck=true --set autoSuppressHardBounces=true

# Büro-Gateway vor Auto-Ban schützen (#pRules):
sharpmail-cli create IpAccessRule --set cidr=198.51.100.40/32 --set action=Allow --set note="Standort Stuttgart"

Einstellungen, Standardwerte & Best Practices

Einstellung / Ort	Funktion	Standardwert	Best Practice im Betrieb
`Suppression List & Auto-Bounce-Sperre (#pOutbound · optional)`	Speichert 5xx-Hard-Bounces (z. B. 30 Tage), eskalierte 4xx-Soft-Bounces und Abmeldungen automatisch und filtert gesperrte Adressen vor dem nächsten Sendeversuch aus.	`Optional (Vorlage: Empfohlen)`	Schont die IP-Reputation bei Google, Microsoft und T-Online enorm, weil ungültige Adressen nicht immer wieder angeschrieben werden.
`ARF Feedback-Loop & RFC 8058 1-Klick-Unsubscribe (optional)`	Wertet eingehende RFC-5965-Missbrauchsberichte (message/feedback-report) automatisch aus und signiert Marketing-/Benachrichtigungs-Mails mit DKIM-geschütztem List-Unsubscribe-Post.	`Optional (für Bulk Pflicht ab 5.000/Tag)`	Für Kategorien marketing und notification aktivieren: Google und Yahoo fordern RFC 8058 One-Click-Unsubscribe verbindlich für Bulk-Versender; Link-Scanner lösen beim GET keinen Fehl-Opt-Out aus.
`24h Bounce- & Complaint-Notbremse + 421 ISP-Cooldown (optional)`	Pausiert Bulk-Kategorien automatisch bei auffälliger Hard-Bounce- (> 5 %) oder Beschwerderate (> 0,2 %) und legt bei 421/451-Drosselungen gezielte Domain-Atempausen ein.	`Optional (critical/2FA ausgenommen)`	AllowCriticalWhenTripped aktiviert lassen: Selbst wenn ein fehlerhafter Newsletter-Import gestoppt wird, gehen Passwort-Resets und 2FA-Codes (critical) weiter sofort raus.
`DNSBL-Selbsttest, HMAC-Webhooks & Sandbox-Sink (optional)`	Prüft die eigene ausgehende IPv4 auf 5 großen Sperrlisten, sendet HMAC-SHA256-signierte Bounce-/Complaint-Webhooks ans CRM/ERP und simuliert Zustellfälle auf *.sink.sharpmail.local.	`sink.sharpmail.local aktiv`	Staging- und Integrationstests gegen ok@, bounce@, defer@ und complaint@sink.sharpmail.local fahren - null DNS/TCP-Traffic ins Internet und null Risiko für deine echte IP!
`Auto-Ban / Fail2Ban & TarpitDelayMs (#pRules)`	Sperrt Brute-Force-Quell-IPs über SMTP, IMAP, Webmail, ActiveSync und DAV automatisch (8 Fehlversuche -> 30 Min.) und bremst Scanner per Tarpit (1500 ms) aus.	`Aktiv · 1500 ms Tarpit`	Aktiv lassen und feste Büro-/VPN-IPs in #pRules als Allow-Regel eintragen; normale Benutzerkonten zusätzlich über OutboundGuard begrenzen.