Cómo detener el spam en todo tu dominio, no buzón por buzón

El spam entra en una empresa por una sola puerta: el servidor de correo que acepta el correo de tu dominio. Dónde colocas el filtro respecto a esa puerta decide cuánto puede hacer. Esta guía compara los cuatro enfoques que la gente suele probar y muestra cómo encajan entre sí.

¿Qué significa "filtrado a nivel de MX"?

Todo dominio que recibe correo electrónico publica registros MX. Un servidor remitente los consulta y entrega el mensaje al host de la lista con el número de preferencia más bajo (RFC 5321, sección 5.1). Con el filtrado a nivel de MX, esos registros apuntan a un servicio de filtrado en lugar de a tu servidor de correo. El servicio acepta cada mensaje, lo revisa y entrega solo el correo limpio a Microsoft 365, Google Workspace, cPanel o Exchange.

Como se sitúa delante del servidor, cubre todos los buzones y todos los alias del dominio con una sola política, sin instalar nada en los dispositivos de los usuarios.

¿Cómo se comparan los cuatro enfoques?

¿Por qué no bastan las reglas de bandeja de entrada?

Las reglas del cliente se ejecutan cuando el mensaje ya está en el buzón. Para entonces, se puede hacer clic en los enlaces, abrir los adjuntos en el teléfono, y el mensaje ya ha consumido almacenamiento y atención. Además, las reglas dependen de cada usuario, así que diez usuarios significan diez conjuntos de reglas distintos y en parte defectuosos. Sirven para ordenar boletines, no para la seguridad.

¿Por qué bloquear remitentes deja de funcionar pronto?

Las listas de bloqueo de remitentes se basan en la dirección del mensaje. Los spammers cambian de dirección y de dominio en cada campaña, y a menudo falsifican direcciones reales. Bloquear una dirección falsificada perjudica a su verdadero dueño y no hace nada contra la siguiente campaña. Usa las listas de bloqueo para un remitente persistente que ignora las solicitudes de baja, no como estrategia contra el spam.

Una versión más sólida es una lista de remitentes aprobados que exige verificación del remitente: la dirección solo es de confianza si el mensaje también supera la autenticación. Así un spammer no puede aprovecharse de la dirección de un socio.

¿Qué papel tienen SPF, DKIM y DMARC?

Son registros que publicas para tu propio dominio:

• SPF enumera los servidores autorizados a enviar correo usando tu dominio en el sobre (RFC 7208).
• DKIM firma tu correo saliente para que los receptores puedan verificar que no se ha alterado.
• DMARC indica a los receptores qué hacer cuando el correo que dice venir de tu dominio De (From) no supera esas comprobaciones. Lo describió originalmente el RFC 7489; en 2026 lo sustituyó el RFC 9989, que mantiene el formato de registro v=DMARC1.

Protegen a tus clientes y socios del correo que se hace pasar por ti. No filtran lo que llega a tus propias bandejas de entrada. Un filtro de entrada, en cambio, comprueba el SPF, DKIM y DMARC de cada remitente que te escribe. Necesitas ambas cosas.

Puedes revisar tus registros con el SPF Checker (verificador de SPF), el DMARC Checker (verificador de DMARC) y el DKIM Checker (verificador de DKIM). Un selector DKIM que no encontramos es desconocido, no defectuoso: los selectores no se publican en ninguna lista, así que solo podemos comprobar los que conocemos o los que tú nos indicas.

¿Qué revisa un filtro a nivel de MX que los demás no pueden?

Como ve cada mensaje antes de la entrega, un filtro para todo el dominio puede actuar sobre cosas que una regla de buzón nunca ve:

• La propia conexión. La IP remitente, su reputación y si se comporta como un servidor de correo real.
• La autenticación del remitente. Los resultados de SPF, DKIM y DMARC del remitente declarado, para retener el correo falsificado que aparenta venir de un socio.
• Los adjuntos antes de que nadie los abra. Análisis de virus y malware, además de reglas por tipo de archivo, como bloquear archivos de Office con macros.
• Una política para toda la empresa. Las reglas geográficas, las de adjuntos y las reglas de dominio personalizadas se aplican a todos los buzones y alias a la vez.
• Disponibilidad. Si tu servidor de correo está caído, el filtro puede retener el correo y entregarlo más tarde, en lugar de que los remitentes reciban rebotes.

También te da un único lugar donde responder "¿recibimos este mensaje?". El historial de mensajes del filtro muestra qué llegó, qué se retuvo y por qué.

¿Quién debería encargarse de cada capa?

En una pequeña empresa, a menudo una sola persona se encarga de todo esto. Aun así, conviene separar las capas:

¿Cómo se configura el filtrado para todo el dominio?

1. Revisa tu situación actual. Ejecuta el Email Health Check (revisión de salud del correo) para ver hoy tus registros MX, SPF y DMARC.
2. Añade el dominio en el servicio de filtrado y define tu servidor de correo como destino de entrega.
3. Prepara el servidor de correo. Indícale que el filtro es una pasarela de confianza: un conector de entrada de tipo Partner con Enhanced Filtering (filtrado mejorado) en Microsoft 365, el ajuste "Inbound gateway" (puerta de enlace de entrada) en Google Workspace o IP de confianza en cPanel/WHM. Consulta las páginas de plataformas. En Zoho Mail es el ajuste "Inbound Gateway"; consulta los ajustes de protección contra spam de Zoho Mail.
4. Cambia el MX usando un TTL corto. Nuestra lista de comprobación para cambiar el MX cubre los detalles.
5. Cierra la ruta directa para que los spammers no puedan saltarse el MX y entregar directamente en tu servidor. Consulta Bloquear la entrega directa al tenant.
6. Configura los resúmenes de cuarentena para que los usuarios puedan ver y liberar cualquier mensaje retenido.
7. Mantén activado el filtro integrado como segunda capa.

¿Cuáles son los riesgos y cómo se revierte el cambio?

• Falsos positivos. Cualquier filtro puede retener un mensaje legítimo. Los resúmenes de cuarentena y la liberación por parte del administrador son la red de seguridad. Empieza con un resumen periódico para que los usuarios se acostumbren a la rutina.
• Elusión. Cambiar solo el MX no impide la entrega directa a Microsoft 365, Google o tu servidor. Restringe el acceso directo al servidor después del cambio de MX.
• Doble filtrado. Si tu servidor de correo no sabe que existe la pasarela, puede tratar todo el correo como si viniera de la IP de la pasarela y marcar como spam el correo legítimo. Usa los ajustes de pasarela de la plataforma en lugar de reglas que omitan el filtro de spam.
• Reversión. Retira primero cualquier restricción de acceso, vuelve a apuntar el MX a tu servidor de correo y mantén activo el servicio de filtrado hasta que haya caducado el TTL anterior.

Si tu empresa tiene varios dominios, hazlo de uno en uno; nuestra guía de seguridad del correo para varios dominios explica el inventario y la implantación por fases.

Cómo te ayuda iBlockSpam

iBlockSpam es un filtro a nivel de MX para dominios de empresa. Revisa el correo entrante en busca de spam, virus, malware, phishing y suplantación antes de que llegue a tu servidor, y sus listas de remitentes aprobados y bloqueados pueden exigir verificación del remitente. Cada usuario tiene una cuarentena personal con resúmenes programados (cada hora, a diario, un día de la semana elegido o con frecuencia personalizada), y los administradores disponen de una cuarentena compartida de todo el dominio. El precio es por dominio con buzones ilimitados; se incluyen 100.000 mensajes entrantes al mes. iBlockSpam no publica SPF, DKIM ni DMARC por ti. Nuestras herramientas gratuitas de comprobación muestran el estado de esos registros, y la monitorización de DMARC está incluida en todos los planes.

Próximos pasos

1. Descubre adónde va hoy tu correo con el Email Health Check gratuito.
2. Compara los costos con precio por dominio frente a precio por usuario.
3. Si añades una pasarela, planifica el cambio de MX con cómo cambiar los registros MX sin perder correo.

Puedes ver cómo es el filtrado para todo el dominio desde el lado del administrador en la demo del portal de iBlockSpam, con datos de ejemplo de tres dominios.

Lee nuestras otras guías sobre cómo elegir un filtro antispam.