Filtro antispam para Microsoft 365: una pasarela MX delante de Exchange Online

Esta página explica cómo colocar iBlockSpam delante de Exchange Online para que el correo de internet llegue primero al servicio de filtrado y solo el correo limpio se entregue a Microsoft 365. Sigue el esquema documentado por Microsoft para un registro MX que apunta a un servicio de filtrado que no es de Microsoft (Microsoft Learn: Manage mail flow using a third-party cloud service).

En toda esta página, los marcadores de posición sustituyen a valores propios de tu cuenta:

• <GATEWAY-MX-HOSTS>: los nombres de host MX de tu dominio.
• <GATEWAY-IP-RANGES>: los rangos de IP que usa el servicio de filtrado para entregarte el correo.
• <GATEWAY-TLS-CERT-NAME>: el nombre de sujeto del certificado que presenta el servicio de filtrado por TLS.

El asistente de configuración de iBlockSpam muestra tus valores exactos, una comparación del DNS antes y después, y los pasos para revertir el cambio en tu dominio. Copia los valores del asistente, no de los ejemplos.

Requisitos previos

• Tu dominio está verificado y en estado Healthy (correcto) en el Centro de administración de Microsoft 365 (Settings > Domains, es decir, Configuración > Dominios).
• Una cuenta con el rol Exchange Administrator (administrador de Exchange) u Organization Management (administración de la organización) en Exchange Online. Microsoft recomienda el mínimo privilegio, así que evita usar Global Administrator (administrador global) siempre que puedas. ¿Compraste Microsoft 365 a través de GoDaddy? Nuestra guía sobre protección antispam de Microsoft 365 en GoDaddy explica dónde están tus opciones de administración.
• Acceso a tu proveedor de DNS para cambiar los registros MX.
• El módulo de PowerShell de Exchange Online, si prefieres PowerShell (Connect to Exchange Online PowerShell).
• El endpoint MX de tu tenant, por ejemplo contoso-com.mail.protection.outlook.com. Lo encontrarás en Settings > Domains > tu dominio > DNS records (registros DNS) del Centro de administración de Microsoft 365. iBlockSpam entrega el correo limpio a este host.
• Una lista de todo lo que envía correo directamente a tu tenant por el puerto 25 (escáneres, aplicaciones de negocio, otros servicios). Necesitas un plan para ellos antes de restringir el conector.

Paso a paso

Estos son los pasos específicos de iBlockSpam. Para entender el contexto de los conectores y por qué Enhanced Filtering for Connectors (filtrado mejorado para conectores) es importante con cualquier filtro externo, lee nuestra guía de configuración de Enhanced Filtering en Microsoft 365.

1. Añade tu dominio en iBlockSpam. Introduce el dominio y tu endpoint MX de Microsoft 365 como destino de entrega. El asistente confirma que el servicio de filtrado puede entregar correo en él.

2. Reduce el TTL del MX. En tu proveedor de DNS, establece el TTL de tus registros MX actuales en 300 segundos (5 minutos) al menos un periodo completo del TTL anterior antes del cambio, para que la modificación se propague rápido y pueda deshacerse rápido.

3. Crea el conector de entrada de tipo Partner, todavía sin restricciones. En el Centro de administración de Exchange, en https://admin.cloud.microsoft/exchange#/connectors, ve a Mail flow > Connectors > + Add a connector (Flujo de correo > Conectores > Agregar un conector):

   • Connection from (conexión desde): Partner organization (organización asociada); Connection to queda fijado en Office 365.
   • Name (nombre): por ejemplo iBlockSpam inbound.
   • Authenticating sent email (autenticación del correo enviado): By verifying that the sender domain matches one of the following domains (verificando que el dominio del remitente coincide con uno de los siguientes dominios) e introduce * (todos los dominios remitentes).
   • Security restrictions (restricciones de seguridad): selecciona Reject email messages if they aren't sent over TLS (rechazar los mensajes que no se envíen por TLS). Deja sin marcar por ahora las restricciones de certificado y de rango de IP.
   • Selecciona Create connector (crear conector).

   Equivalente en PowerShell:

   New-InboundConnector -Name "iBlockSpam inbound" -ConnectorType Partner `
     -SenderDomains * -RequireTls $true `
     -SenderIpAddresses <GATEWAY-IP-RANGES>
   

4. Activa Enhanced Filtering for Connectors. En el portal de Microsoft Defender, ve a Email & collaboration > Policies & rules > Threat policies > Rules > Enhanced filtering (Correo electrónico y colaboración > Directivas y reglas > Directivas de amenazas > Reglas > Filtrado mejorado; enlace directo: https://security.microsoft.com/skiplisting). Selecciona el conector, elige Skip these IP addresses that are associated with the connector (omitir estas direcciones IP asociadas al conector) e introduce <GATEWAY-IP-RANGES>. Microsoft también ofrece Automatically detect and skip the last IP address (detectar y omitir automáticamente la última dirección IP), adecuado cuando hay un solo salto. Empieza con Apply to a small set of users (aplicar a un grupo reducido de usuarios) si quieres hacer una prueba piloto y después cambia a Apply to entire organization (aplicar a toda la organización). (Microsoft Learn: Enhanced Filtering for Connectors)

   Set-InboundConnector -Identity "iBlockSpam inbound" `
     -EFSkipLastIP $false -EFSkipIPs <GATEWAY-IP-RANGES>
   # Pilot on named recipients first (list every proxy address you want covered):
   # Set-InboundConnector -Identity "iBlockSpam inbound" -EFUsers "pilot1@example.com","pilot2@example.com"
   

   Ten en cuenta que los rangos IPv6 solo pueden configurarse en PowerShell y que no se aceptan IP privadas ni IP de Microsoft 365.

5. Cambia el registro MX. Sustituye tu registro MX de Microsoft 365 por <GATEWAY-MX-HOSTS> con las prioridades que indica el asistente. No mantengas el MX de Microsoft como respaldo de menor prioridad: los servidores remitentes pueden usar cualquier MX de la lista (RFC 5321, sección 5.1), y los spammers suelen atacar el de respaldo a propósito.

6. Vigila la propagación del cambio. Usa la herramienta MX Lookup (consulta de registros MX) y envía mensajes de prueba desde un buzón externo. Puede llegar correo por las dos rutas mientras el registro anterior caduca en los resolvers DNS. Es lo esperado.

7. Restringe el conector al servicio de filtrado. Cuando haya caducado el TTL anterior y veas que el correo llega a través de iBlockSpam, restringe el conector para que se rechace el correo enviado directamente a *.mail.protection.outlook.com. Microsoft prefiere el método del certificado:

   # Preferred: certificate
   Set-InboundConnector -Identity "iBlockSpam inbound" `
     -TlsSenderCertificateName <GATEWAY-TLS-CERT-NAME> `
     -RestrictDomainsToCertificate $true -RequireTls $true
   
   # Alternative: IP ranges
   Set-InboundConnector -Identity "iBlockSpam inbound" `
     -SenderIpAddresses <GATEWAY-IP-RANGES> `
     -RestrictDomainsToIPAddresses $true
   

   En el Centro de administración de Exchange, corresponden a And require that the subject name of the certificate that the partner uses to authenticate with Office 365 matches this domain name (exigir que el nombre de sujeto del certificado que usa el asociado para autenticarse en Office 365 coincida con este nombre de dominio) y Reject email messages if they aren't sent from within this IP address range (rechazar los mensajes que no se envíen desde este rango de direcciones IP), en la página Security restrictions.

8. Elimina las reglas que omiten el filtro antispam. Si tienes alguna regla de flujo de correo que establece el SCL en -1 para la pasarela, desactívala. Microsoft afirma que el SCL -1 es "una entrada para el filtrado, no una decisión final" y recomienda Enhanced Filtering en su lugar.

9. Opcional: rechaza Direct Send desde tu propio dominio. Set-OrganizationConfig -RejectDirectSend $true rechaza los mensajes no autenticados que usan tus dominios aceptados como remitente y se entregan directamente a tu tenant. Complementa la restricción del conector; no la sustituye.

Cómo comprobar que funciona

Abre en Outlook un mensaje de prueba de un remitente externo (File > Properties > Internet headers, es decir, Archivo > Propiedades > Encabezados de Internet) o pega los encabezados en el Email Header Analyzer (analizador de encabezados de correo), que se ejecuta en tu navegador. Revisa:

• Líneas Received: el salto anterior a Microsoft 365 debe ser el servicio de filtrado.
• X-MS-Exchange-SkipListedInternetSender y X-MS-Exchange-ExternalOriginalInternetSender: muestran la dirección de origen real cuando Enhanced Filtering funciona (Microsoft Learn).
• Authentication-Results: el SPF debe evaluarse con la IP del remitente original, no con la de la pasarela. El motivo compauth 905 significa que no se aplicó DMARC por un enrutamiento complejo, lo que suele indicar que Enhanced Filtering no cubre ese mensaje (Microsoft Learn: anti-spam headers).
• X-Forefront-Antispam-Report: SFV:SKN significa que una regla de flujo de correo omitió el filtrado. No deberías verlo después del paso 8.

Después prueba la restricción: envía un mensaje directamente a tu host *.mail.protection.outlook.com desde un servidor que no sea la pasarela. Debe rechazarse con el error 5.7.51 TenantInboundAttribution.

Reversión

El orden importa. Si reviertes primero el MX, el conector restringido rechazará el correo de internet que ahora llega directamente.

1. Quita la restricción: Set-InboundConnector -Identity "iBlockSpam inbound" -RestrictDomainsToCertificate $false -RestrictDomainsToIPAddresses $false.
2. Vuelve a apuntar el MX a tu endpoint de Microsoft 365, con un TTL corto.
3. Mantén activo el dominio en iBlockSpam hasta que caduque el TTL del MX anterior, para que se entregue el correo que siga llegando a través de la pasarela.
4. Desactiva Enhanced Filtering (-EFSkipLastIP $false -EFSkipIPs $null) y después desactiva o elimina el conector.

Errores habituales

• Restringir el conector antes de que se haya propagado el cambio de MX. Se rechaza el correo que todavía llega por la ruta directa.
• Dejar el MX de Microsoft como respaldo. Ofrece a los spammers una vía para esquivar el filtro.
• Enhanced Filtering en el conector equivocado o solo para un grupo reducido de usuarios. Durante una prueba piloto, Enhanced Filtering solo se aplica si todos los destinatarios del mensaje están en la lista, incluidas todas sus direcciones proxy.
• Mantener una regla de SCL -1. Desactiva la mayoría de las protecciones de Microsoft para todo lo que llega desde IP compartidas de la pasarela.
• Olvidar los remitentes de Direct Send. Los escáneres y aplicaciones que entregan directamente al tenant dejan de funcionar en cuanto se restringe el conector.
• Cambiar el SPF cuando no hace falta. El filtrado de entrada no afecta a tu registro SPF. Si de todos modos lo estás revisando, nuestra página sobre el registro SPF de Microsoft 365 muestra el include exacto que documenta Microsoft y cuántas consultas consume.
• Doble reescritura de enlaces. Microsoft desaconseja que dos servicios reescriban los mismos enlaces (Microsoft Learn: integrate non-Microsoft security services).

Límites

• Cada dominio incluye 100.000 mensajes entrantes al mes y acepta mensajes de hasta 400 MB. Exchange Online aplica sus propios límites de tamaño de mensaje, así que prevalece el límite más bajo.
• Buzones ilimitados significa cualquier número de buzones por dominio. No significa volumen de mensajes ilimitado.
• Si Microsoft 365 no está disponible, el correo se retiene en cola hasta 5 días. El historial de mensajes se conserva 30 días.
• Una consulta MX muestra adónde debería ir el correo. No puede demostrar que el correo se filtra ni indica si tu tenant sigue aceptando entregas directas. Usa las pruebas de encabezados y de restricción descritas arriba.

¿Necesitas una pasarela de correo?

La protección propia de Microsoft es sólida, y una pasarela no es adecuada para todos los tenants. Lee Filtrado integrado de Microsoft 365 frente a una pasarela y Defender for Office 365 frente a una pasarela antes de decidir. Nuestra guía ¿Necesito un filtro antispam con Microsoft 365? aborda la misma pregunta desde el punto de vista del comprador. ¿Te has atascado en algún paso? Nuestra página de soporte indica qué datos enviarnos para que podamos rastrear el correo rápidamente.