Beobachten.
Signieren.
Nachprüfen.

1. Eingang und Identität des Inhalts

SMTP250 erhält die ursprünglichen SMTP-Daten und berechnet deren SHA-256-Fingerabdruck. Die Zieladresse wird aus name#example.org@smtp250.org abgeleitet. Dieser Eingangshash wird ausdrücklich nicht als Hash aller später ergänzten Transport- und DKIM-Header bezeichnet.

2. Zahlung und Weiterleitung

Stripe reserviert 1 EUR per Karte. Erst eine verifizierte Reservierung startet den Versand. Postfix übernimmt Warteschlange und Wiederholungsversuche. Eine lokale Queue-Annahme gilt nicht als Erfolg: maßgeblich ist die passende externe SMTP-250-Antwort nach DATA.

3. Protokoll und Signaturen

Der Nachweis enthält Zieladresse, Server, Antwort, Queue-Zuordnung und Annahmezeit. Das PDF besitzt eine eingebettete CMS-/PAdES-Dokumentsignatur. Der vollständige JSON-Datensatz und seine RSA-PSS/SHA-256-Signatur stehen sichtbar auf dem PDF. Der identische signierte Datensatz ist zur maschinellen Prüfung in den PDF-Metadaten enthalten. Es gibt keine zusätzliche JSON-Mailanlage.

Das Betreiberzertifikat und sein SHA-256-Fingerabdruck ermöglichen die Integritätsprüfung. Ein selbstsigniertes Betreiberzertifikat ist kein automatisch öffentlich vertrauenswürdiges oder qualifiziertes Zertifikat.

4. Fehler und Wiederanlauf

Vorgänge, Zahlungszustände und Benachrichtigungen werden dauerhaft gespeichert. Doppelte Zahlungsereignisse erzeugen keinen zusätzlichen Einzug. Bei unklarer Übergabe stellt die Anwendung das Original nicht blind erneut ein. SMTP selbst kann bei verlorener Abschlussantwort jedoch Wiederholungen verursachen; globale Genau-einmal-Zustellung wird nicht zugesichert.

Bei Fristablauf wird ausschließlich die passende SMTP250-Queue gezielt entfernt. Eine bestätigte spätere Unzustellbarkeit erzeugt eine signierte Ergänzung mit Hash-Verweisen auf den ursprünglichen Nachweis.

5. Schutz und Aufbewahrung

Anwendungsinhalte sind mit einem getrennt verwalteten Schlüssel verschlüsselt. Private Schlüssel und Nachrichten gehören nicht ins Quellcode-Repository. Der Dienst arbeitet unter eigenem Benutzer, mit gezieltem Zugriff auf TLS-Dateien und Mailprotokoll. Inhaltliche Löschung bedeutet keine garantierte physische Überschreibung von SSDs oder Sicherungen.

6. Grenzen

Die Zeit stammt von der Betreiber-Serveruhr; es gibt keinen unabhängigen Zeitstempeldienst. SPF und DKIM schützen den Transport, garantieren aber weder Zustellung noch DMARC-Ausrichtung fremder ursprünglicher Absender. Eine Annahme ist kein Lesebeleg.