Tres redes de seguridad, tres accidentes
Decimos «está en la copia de seguridad» para referirnos a mecanismos muy distintos. Cada uno cubre un tipo de accidente, con una persona que actúa y un límite.
| Red | Quién actúa | Qué recupera | Su límite |
|---|
| Papelera y carpeta de recuperación | El usuario, en su buzón | El error reciente de manipulación | Duración corta, y nada si se elimina o se compromete el propio buzón |
| Copia de seguridad del servicio | El operador, a petición | La vuelta de un mensaje, una carpeta o un buzón a un estado anterior | El período de conservación y el intervalo entre dos copias |
| Respaldo de la plataforma | El operador, sin petición | La caída: el correo sigue llegando o se reanuda | No recupera un mensaje borrado |
La copia que el editor o el proveedor de alojamiento guarda para su propia disponibilidad, en varios discos o varios servidores, pertenece a la tercera red. Protege frente a una avería de hardware. No protege frente a una eliminación: un mensaje borrado desaparece de inmediato en todas las réplicas. Es la confusión más frecuente entre redundancia y copia de seguridad.
¿Recupera una copia de seguridad un mensaje eliminado?
Sí, con tres límites.
- El período de conservación. Con una retención de 30 días, un mensaje borrado hace seis semanas ya no está en ninguna copia. Si la eliminación solo se descubre al cierre del ejercicio, la copia llega demasiado tarde.
- El punto de recuperación. Una copia de seguridad es una fotografía. Un mensaje llegado a las 10:05 y borrado a las 10:40, antes de la copia siguiente, nunca se fotografió. Cuanto más frecuentes son las copias, más se reduce esta ventana; nunca es nula.
- El uso. Una copia de seguridad sirve para volver atrás. No sustituye a un archivo de varios años, que conserva los mensajes para poder presentarlos, con sus propias reglas de duración y de acceso.
La eliminación deliberada merece una atención especial. Un empleado descontento que vacía su buzón, o un atacante que se ha hecho con una cuenta de administración, puede borrar los mensajes e intentar borrar también las copias. De ahí el interés de una copia de seguridad que nadie pueda modificar durante su período de conservación, ni siquiera un administrador del correo. La guía de la ANSSI sobre copias de seguridad recomienda aislar los servidores de copia dentro del sistema de administración e invita a examinar el mecanismo de inmutabilidad de una solución de tipo WORM en lugar de fiarse de la palabra.
Independiente del servidor: qué significa
Una copia de seguridad independiente reside fuera del correo que protege. En concreto:
- se almacena en otro sistema, y preferiblemente en otro emplazamiento, para que un incidente en la sala no se la lleve por delante;
- las credenciales que administran el correo no bastan para eliminarla;
- está cifrada, para que la copia no sea una segunda puerta de acceso a los mensajes;
- se prueba. La ANSSI lo formula de forma sencilla: «las copias de seguridad deben probarse con regularidad» (traducción). Una copia que nunca se ha restaurado sigue siendo una hipótesis.
La misma guía recomienda la regla «3-2-1», que empieza por tres copias distintas de los datos, y define la copia de seguridad fuera de línea como una copia en un soporte desconectado de todo sistema de información. Estas nociones se aplican al correo igual que a los archivos; su aplicación a los documentos se explica en control de versiones, replicación y copia de seguridad.
Ejemplo. En un despacho de 25 personas (caso hipotético), un colaborador elimina por error la carpeta de un cliente, vacía la papelera y no se da cuenta hasta el lunes siguiente. La carpeta de recuperación ya no contiene nada útil. La copia del viernes anterior contiene la carpeta. El operador la restaura en el buzón; solo faltan los mensajes llegados y borrados entre dos copias.
Cuando el servidor cae
El correo electrónico tolera bien las caídas breves. Un servidor remitente que no consigue contactar con el suyo, o que recibe un error temporal, mantiene el mensaje en cola y vuelve a intentarlo. Mientras la caída dure menos que el plazo tras el cual el remitente desiste, que suele contarse en días, no se pierde nada: el correo llega cuando el servicio vuelve. La guía migrar un correo sin interrupción detalla este mecanismo. Una pasarela de filtrado situada delante del correo cumple el mismo papel: conserva el mensaje aceptado hasta que el servidor responde.
Lo que ven los usuarios es distinto: no hay webmail, los teléfonos dejan de sincronizarse, no se pueden enviar mensajes. Es esa duración la que mide el primer indicador.
RTO (tiempo máximo de interrupción admisible): el tiempo objetivo para volver a poner el servicio en marcha. RPO (pérdida máxima de datos admisible): la cantidad de datos, expresada en tiempo, que se acepta perder si hay que reconstruir el almacenamiento a partir de la última copia de seguridad.
El RPO no afecta al correo que espera en los servidores de los remitentes: ese llega cuando el servicio vuelve. Afecta a los mensajes ya entregados en los buzones, y a las acciones de los usuarios, desde la última copia, en el caso de que se perdiera el propio almacenamiento. Un RPO de menos de 2 horas significa que habría que reconstituir como máximo dos horas de ese historial. Son objetivos: pregunte cómo se miden y se prueban.
Cambiar de servidor sin cambiar de dominio
Una caída prolongada, el fin de un contrato o la adquisición del proveedor pueden obligar a cambiar de correo. Su dominio y sus direcciones no cambian: es el registro MX el que designa la nueva plataforma. El método, con la coexistencia, las pasadas de copia y la coherencia de SPF, DKIM y DMARC, se describe en migrar un correo sin interrupción. No se repite aquí.
Preguntas frecuentes
¿La redundancia sustituye a la copia de seguridad?
No. La redundancia también replica las eliminaciones. Protege frente a una avería de hardware, no frente a un error ni frente a un borrado deliberado.
¿Se pierde un mensaje recibido durante una caída?
Por lo general, no: el remitente lo conserva y vuelve a intentarlo. Solo se pierde si se rechaza de forma definitiva o si la caída dura más que el plazo de abandono del remitente.
¿Bastan treinta días de copias de seguridad?
Para volver atrás tras un error, a menudo sí. Para conservar mensajes durante varios años, no: esa es la función del archivo. Véase archivar los mensajes.
¿Hay que descubrir rápido el ataque a un buzón?
Sí, porque el período de retención corre. La protección previa corresponde a la pasarela de filtrado; véase proteger el correo que ya tiene.
Dónde se sitúa Klytic
En Klytic Mail, las tres redes existen y son distintas.
- Del lado del usuario, la carpeta de elementos eliminados permite recuperar uno mismo, sin coste, los mensajes eliminados.
- Del lado del servicio, se hace una copia de seguridad del correo cada hora. Las copias están cifradas, se conservan 30 días, se replican en varios emplazamientos y son inmutables: una copia escrita ya no puede modificarse ni eliminarse. Se supervisan de forma continua y las restauraciones se prueban cada mes. Para ello, Klytic se apoya en los servicios de WeDoBack, descritos en la página Seguridad y copia de seguridad.
- Del lado de la plataforma, los objetivos publicados son un restablecimiento del servicio en menos de 4 horas (RTO) y una pérdida máxima de datos inferior a 2 horas (RPO). Situado delante del correo, Klytic MTA conserva temporalmente, cifrado, un mensaje cuyo servidor destinatario no está disponible.
La restauración de un mensaje, una carpeta o un buzón se solicita al soporte, indicando el elemento afectado y la fecha aproximada. Está incluida en caso de mal funcionamiento del servicio, de eliminación deliberada por parte de un empleado o de cuenta eliminada demasiado pronto durante una baja (con un límite de 3 solicitudes al mes), o de ataque sufrido pese a que los equipos estuvieran correctamente protegidos. Tras una eliminación accidental, un error de manipulación, o si los equipos no estaban suficientemente protegidos, da lugar a un ticket de asistencia de pago. La carpeta de elementos eliminados, sin coste, sigue siendo el primer recurso. El procedimiento se describe en restaurar un mensaje o un buzón.
Lo que la oferta no cubre: una restauración en autoservicio por parte del usuario más allá de la carpeta de elementos eliminados, y una conservación de más de 30 días mediante la copia de seguridad. Para conservar mensajes durante varios años, se ofrece el archivo legal como opción.
Esta página describe un marco general. Los compromisos aplicables son los de su contrato.
Fuentes
Consultadas en octubre de 2026.
- ANSSI, «Sauvegarde des systèmes d’information : les fondamentaux» (Copia de seguridad de los sistemas de información: los fundamentos), versión 1.1: definición de la copia de seguridad fuera de línea, regla «3-2-1», pruebas periódicas de las copias, aislamiento de los servidores de copia, examen del mecanismo de inmutabilidad, correspondencia entre PDMA y RPO, y entre DMIA y RTO. cyber.gouv.fr
- Klytic, Seguridad y copia de seguridad: frecuencia, retención, cifrado, replicación, inmutabilidad, pruebas mensuales, RTO y RPO objetivo, restauración de un correo, una carpeta o un buzón. klytic.com
- Klytic, Preguntas frecuentes: copia de seguridad horaria salvo telefonía, objetivos de recuperación, conservación temporal por Klytic MTA cuando el servidor destinatario no está disponible. klytic.com
- Klytic, Migrar un correo sin interrupción: cola de los remitentes en caso de error temporal, función del MX, coexistencia. klytic.com
