¿Necesito un filtro antispam aparte con Microsoft 365?

Microsoft 365 no es una bandeja de entrada desprotegida. Todo tenant ya tiene delante un filtro de spam, malware y phishing, así que la verdadera pregunta es si ese filtro, tal como lo has configurado, cubre lo que tu empresa necesita. Esta guía da primero la respuesta honesta y después muestra las carencias concretas que cubre una capa adicional y cómo añadirla sin debilitar la protección de Microsoft.

¿Microsoft 365 ya tiene un filtro antispam?

Sí. Toda suscripción de Microsoft 365 con buzones en la nube incluye la seguridad de correo integrada de Microsoft, conocida durante años como Exchange Online Protection (EOP). Microsoft afirma que estas protecciones "están incluidas en todas las organizaciones con buzones en la nube" y que vienen activadas de forma predeterminada mediante las directivas predeterminadas antimalware, antispam y antiphishing (suplantación o spoofing). "No puedes desactivarlas, pero sí invalidarlas" (Microsoft Learn).

Cada mensaje entrante pasa por el filtrado de conexiones (reputación de la IP del remitente, donde, según Microsoft, "se rechaza la mayor parte del spam"), el análisis de malware, tus reglas de flujo de correo y, por último, los veredictos de spam y phishing. El phishing de alta confianza siempre va a cuarentena. Para un recorrido completo por esas capas, lee qué incluye Exchange Online Protection.

Microsoft también deja claro para qué sirve este nivel. Dice que las funciones integradas "evitan ataques de correo amplios, masivos y conocidos" (Microsoft Learn). Los enlaces nuevos, los archivos maliciosos desconocidos y la suplantación de tu personal quedan por encima de esa línea.

¿Qué incluye cada plan de Microsoft 365 en seguridad del correo?

Microsoft llama a los niveles una escalera de protección: funciones integradas para todo buzón en la nube, después Defender for Office 365 Plan 1 y luego Plan 2.

Fuente: la escalera de protección de Microsoft.

¿Qué plan tienes? En el momento de escribir esto (octubre de 2026), la descripción del servicio de Microsoft indica que el Plan 1 está incluido en Microsoft 365 Business Premium y, "a partir del 1 de julio de 2026, en Office 365 E3 y Microsoft 365 E3". El Plan 2 está incluido en suscripciones empresariales como Microsoft 365 E5. Business Basic y Business Standard solo tienen el nivel integrado, salvo que compres Defender como complemento: la referencia de planes de servicio de licencias de Microsoft incluye Defender for Office 365 (Plan 1) en Business Premium, pero en ninguno de los otros dos. Revisa Your products (Tus productos) en el Centro de administración de Microsoft 365 para confirmarlo. Nuestra guía de Plan 1 frente a Plan 2 profundiza más.

¿Cuándo basta la protección integrada de Microsoft 365?

La protección propia de Microsoft 365 es suficiente para muchas organizaciones. Sé sincero contigo mismo en estos puntos antes de comprar nada:

1. Usas una sola plataforma. Todos tus dominios reciben el correo en Microsoft 365.
2. Has aplicado una directiva preestablecida. La directiva de seguridad preestablecida Standard o Strict está activa para todos los destinatarios, en lugar de dejar valores predeterminados que nadie eligió.
3. Tienes el Plan 1 o superior, o has aceptado el riesgo de no revisar los enlaces en el momento del clic ni analizar los adjuntos en un entorno aislado.
4. Las listas de permitidos están limpias. No hay dominios permitidos amplios, entradas en la lista de IP permitidas ni reglas de flujo de correo que fijen el nivel de confianza de spam (SCL) en -1.
5. Tu propio dominio está autenticado. SPF, DKIM y DMARC están publicados, así que Microsoft puede detectar el correo que te suplanta.
6. Alguien revisa la cuarentena y los usuarios saben cómo notificar un phishing que se ha colado.

Si los seis puntos se cumplen y el correo basura no es una queja diaria, probablemente no necesitas un segundo filtro. Dedica el esfuerzo a la MFA y a que los usuarios notifiquen los mensajes sospechosos.

¿Por qué sigue llegando spam a Microsoft 365?

La causa más habitual de que el spam llegue a las bandejas de Microsoft 365 es un ajuste que le dice a Microsoft que omita el filtrado, no un filtro débil. El encabezado antispam de un mensaje entregado lo muestra. Este es un ejemplo de la parte relevante del encabezado X-Forefront-Antispam-Report (solo valores de ejemplo):

X-Forefront-Antispam-Report: CIP:203.0.113.25;CTRY:US;LANG:en;SCL:1;SRV:;IPV:NLI;SFV:SKA;H:mail.example.net;DIR:INB;CAT:NONE;

La referencia de encabezados antispam de Microsoft explica los valores que importan:

Si ves valores de omisión en mensajes de spam, corrige primero la entrada de permitidos. Pega un encabezado en el Email Header Analyzer (analizador de encabezados de correo) para leerlo rápidamente, y consulta por qué se cuela el spam en Microsoft 365 para ver la lista completa de soluciones. Un producto nuevo no servirá de nada si una regla le dice a Microsoft que deje pasar el correo.

¿Cómo ves lo que está detectando Microsoft 365?

Microsoft 365 muestra lo que está detectando en sus informes de seguridad del correo y de flujo de correo, y en el seguimiento de mensajes para mensajes concretos. Fíjate en la tendencia de detecciones de malware, phishing y spam, y en cuántos mensajes notificados por los usuarios resultaron ser amenazas reales. Si los usuarios siguen notificando phishing que Microsoft entregó, es un argumento a favor de Defender Plan 1 o de otra capa. Si sobre todo notifican boletines, ajusta mejor el filtrado de correo masivo. Nuestra guía de seguimiento de mensajes muestra cómo seguir un mensaje concreto.

¿Qué carencias cubre un filtro antispam adicional?

Un filtro a nivel de MX (una pasarela de entrada a la que apunta el registro MX de tu dominio, que filtra el correo antes de que Microsoft 365 lo reciba) cubre más carencias operativas que de detección. Estos son los casos en los que justifica su lugar:

• Los usuarios encuentran su propio correo retenido. En las directivas de cuarentena integradas de Microsoft, las notificaciones están desactivadas en DefaultFullAccessPolicy y AdminOnlyAccessPolicy; las directivas preestablecidas cambian a una directiva con las notificaciones activadas (Microsoft Learn). Puedes configurarlo, pero muchos tenants nunca lo hacen. iBlockSpam da a cada usuario una cuarentena personal con resúmenes de cuarentena por correo con la frecuencia que elijas (cada hora, a diario, un día de la semana elegido o personalizada).
• Correo durante las caídas. La cifra de Microsoft en este punto se refiere a servidores locales: cuando Microsoft 365 no puede entregar a un servidor local que no acepta correo, indica que los mensajes aplazados "permanecen en nuestras colas durante un día" (Microsoft Learn). Microsoft no describe en esa página un equivalente para buzones en la nube. Nuestro razonamiento: con buzones solo en la nube, el fallo más probable está de tu lado, como un conector roto, un error de DNS o un problema del dominio que hace que Exchange Online rechace el correo, y una pasarela delante puede conservar ese correo en lugar de dejar que cada remitente lo reintente. iBlockSpam retiene el correo hasta 5 días y lo entrega cuando el destino vuelve a estar disponible.
• Plataformas mixtas. Si algunos dominios están en Google Workspace, cPanel o Exchange, un solo filtro y un solo portal los cubren todos.
• Precio por dominio. Los buzones compartidos, los alias y el personal de temporada no cambian el precio. iBlockSpam incluye buzones ilimitados por dominio (se refiere al número de buzones, no a un volumen de mensajes ilimitado).
• Controles adicionales. Filtros geográficos, filtros por tipo de archivo adjunto y un filtro de macros de Office, aplicados antes de que el correo llegue a Microsoft.
• Una segunda opinión independiente. Dos motores con señales distintas atrapan cosas distintas. La propia Microsoft señala que "por muchas capas de protección del correo que haya, la protección total nunca llega al 100 por ciento" (Microsoft Learn).

Lo que una pasarela no sustituye: Safe Links en el momento del clic, Safe Attachments para SharePoint, OneDrive y Teams, ZAP después de la entrega, y la protección del correo interno entre compañeros, que nunca pasa por tu MX. Mantén activada la protección de Microsoft. La comparativa entre la protección integrada de Microsoft 365 y una pasarela las presenta una al lado de la otra.

¿Defender Plan 1, una pasarela o ambos?

Defender Plan 1 y una pasarela MX resuelven problemas distintos, así que la elección depende de qué carencia tengas.

Muchas organizaciones usan ambos: Business Premium para la protección de enlaces y adjuntos, y una pasarela para el filtrado perimetral, los resúmenes y la retención en cola.

¿Cómo se añade de forma segura un filtro delante de Microsoft 365?

Añadir un filtro delante de Microsoft 365 significa apuntar tu registro MX hacia él e informar a Microsoft del salto adicional. Microsoft lo documenta como "el registro MX apunta a un filtrado de spam de terceros" ("MX record points to third-party spam filtering") (Microsoft Learn). El orden seguro es:

1. Anota lo que tienes. Apunta tus registros MX, SPF y DMARC actuales y reduce el TTL del MX un día antes.
2. Crea un conector de entrada de tipo Partner que acepte el correo desde las direcciones IP o el certificado del filtro.
3. Activa Enhanced Filtering for Connectors (filtrado mejorado para conectores). Sin él, cada mensaje "adopta la IP de origen del último salto", así que las comprobaciones de SPF y reputación de Microsoft ven el filtro en lugar del remitente real (Microsoft Learn). Microsoft indica que, una vez activado, hay que desactivar las reglas de omisión con SCL -1.
4. Cambia el registro MX y envía mensajes de prueba desde cuentas externas. Confirma la ruta en los encabezados.
5. Bloquea la entrega directa cuando el correo ya fluya, para que los atacantes no puedan saltarse el filtro enviando directamente a tu host mail.protection.outlook.com. Consulta cómo bloquear la entrega directa al tenant.
6. Explica a los usuarios dónde buscar un mensaje que falta: el resumen de la pasarela, la cuarentena de Microsoft o la carpeta de correo no deseado.

La versión paso a paso, con PowerShell y reversión, está en cómo usar un filtro antispam externo con Microsoft 365.

Próximos pasos

• Revisa Your products (Tus productos) en el Centro de administración de Microsoft 365 para ver si tienes Defender Plan 1.
• Aplica la directiva de seguridad preestablecida Standard o Strict y elimina las entradas de permitidos que no puedas justificar.
• Ejecuta el Email Health Check (revisión de salud del correo) gratuito para ver hoy tus registros MX, SPF y DMARC.
• Si las carencias anteriores coinciden con tu situación, la página de configuración de iBlockSpam para Microsoft 365 muestra exactamente qué cambia en tu tenant.

Consulta nuestras otras guías sobre cómo elegir protección para el correo.