Kapitel 06 Mail-Transport & Abwehr Admin: #pSmtpQueue

SMTP-Queue, Retry-Zeitplan, ISP-Throttling, Smart-Host & Live-MX-Tester

Die ausgehende Zustell-Engine löst MX-Records parallel auf, prüft MTA-STS sowie DANE-TLSA-Einträge, unterstützt opportunistisches STARTTLS gemäß RFC 7435 bei Shared-Hosting-Gegenstellen, signiert Nachrichten per DKIM und steuert Wiederholungsversuche bei temporären 4xx-Antworten vollautomatisch.

Praxis-Tipp & Architektur-Hinweis

Nutze den integrierten Outbound-MX, STARTTLS & DANE Live-Tester (#pSmtpQueue) bei Zustellproblemen an einzelne Geschäftspartner: Er führt einen echten, zerstörungsfreien Verbindungs-, EHLO- und TLS-Zertifikats-Test bis zum fremden MX durch, ohne eine E-Mail abzusenden.

Ausgehende Transport-Sicherheit: Opportunistisches vs. Striktes TLS

So entscheidet SharpMailserver automatisch zwischen maximaler Sicherheit und Kompatibilität mit Shared-Webhostern.

Referenz / Konfiguration

1. Ziel-Domain hat DANE TLSA oder MTA-STS (mode: enforce):
   -> Strikte Zertifikats- & Hostname-Prüfung (Pflicht-TLS, kein Fallback).
2. Standard Port-25-MX ohne MTA-STS/DANE (Opportunistic STARTTLS, RFC 7435):
   -> Verschlüsselt per TLS 1.3/1.2 auch dann, wenn ein Shared-Hoster-MX
      ein Zertifikat auf seinen Provider-Namen präsentiert (kein unnötiger Bounce).
3. Domain-Policy RequireOutboundTls = true:
   -> Erzwingt striktes TLS für besonders schützenswerte Partner-Domains.

Einstellungen, Standardwerte & Best Practices

Einstellung / Ort	Funktion	Standardwert	Best Practice im Betrieb
`RetryScheduleMinutes`	Kommagetrennte Wartezeiten in Minuten zwischen Zustellversuchen, wenn ein Zielserver temporär mit 4xx (z. B. Greylisting oder volles Postfach) antwortet.	`5, 15, 60, 240, 720, 1440`	Standard beibehalten (~41 Stunden Gesamtfenster): Der erste Retry nach 5 Minuten überwindet fremdes Greylisting schnell, spätere Stufen überbrücken Wartungsfenster.
`OutboundWorkerConcurrency`	Maximale Anzahl gleichzeitiger ausgehender SMTP-Zustell-Threads über alle Ziel-Domains hinweg.	`4 Worker`	4 bis 8 für kleine und mittlere Unternehmen; bei hohem Transaktions- oder Rechnungsaufkommen schrittweise auf 12 bis 24 erhöhen.
`MaxConnectionsPerMxIp & RatePerMinute`	Begrenzt parallele Verbindungen und Nachrichten pro Minute an denselben Ziel-ISP (z. B. Gmail, Microsoft 365, t-online), um 421-Sperren zu vermeiden.	`2 Verbindungen · 60/Min.`	Neue Server-IPs in den ersten 2 Wochen konservativ betreiben (max. 2 Verbindungen, 30-60 Mails/Min.), um eine saubere IP-Reputation aufzubauen.
`Globaler Smart-Host & Domain-Routen`	Leitet entweder den gesamten ausgehenden Verkehr über ein Relay (z. B. Hoster-Relay bei gesperrtem Port 25) oder einzelne Domains gezielt an interne Systeme.	`Direkter MX-Versand (leer)`	Direkten MX-Versand nutzen, sofern Port 25 frei und PTR sauber ist (volle DANE-Kontrolle). Smart-Host nur bei Cloud-VMs mit Port-25-Sperre aktivieren.
`Zertifikatsprüfung & TLS-Ausnahmen (RemoteCertificateNameMismatch)`	Steuert global (Opportunistic, IgnoreErrors, Strict) sowie pro Ziel-Domain (Ziel-Host leer = Auto DNS-MX + StartTlsIgnoreCert), ob E-Mails an Shared-Hosting-MX mit abweichendem Zertifikatsnamen dennoch verschlüsselt zugestellt werden.	`Opportunistic (RFC 7435)`	Standard 'Opportunistic' belassen; bei strikter Policy einzelne Partner-Domains per 1-Klick direkt aus der Queue auf StartTlsIgnoreCert setzen.