Para qué sirve un registro de seguridad del correo
- Entender una decisión. Un cliente se queja de que un mensaje nunca llegó: el registro indica si se rechazó, se puso en cuarentena o se entregó, y por qué motivo.
- Demostrar que se detuvo un mensaje. Tras un intento de fraude, la empresa puede mostrar que el mensaje se bloqueó y en qué momento.
- Investigar después de un incidente. ¿Quién, en la empresa, recibió la misma campaña? ¿Desde cuándo escribe ese dominio similar?
- Alimentar un SIEM. Una herramienta de supervisión de la seguridad cruza las decisiones del filtro con los inicios de sesión, los equipos y la red.
Registro de filtrado. El rastro de las decisiones del filtro: fecha, dominio remitente, puntuación, motivo, decisión. No es una copia del correo. Conservar los propios mensajes corresponde al correo y, si es necesario, a un archivo legal.
Qué contiene una decisión
En Klytic MTA, cada decisión está explicada. La puntuación y el motivo figuran en los encabezados del mensaje entregado, con nombres propios de Klytic: X-KlyticMTA-Status para la decisión, X-KlyticMTA-Score para la puntuación, X-KlyticMTA-Reason para el motivo. Así, un administrador puede leer en el propio mensaje por qué se entregó. Esto es válido en las dos ofertas.
La oferta Avanzado añade registros presentados como conformes con los marcos de referencia CIS y NIST, exportables a su SIEM. La diferencia entre las dos ofertas es, por tanto, clara:
- Esencial: la decisión se explica, mensaje por mensaje, en los encabezados.
- Avanzado: las decisiones forman además un registro que puede enviar a su propia herramienta, para conservarlo y cruzarlo con otras fuentes.
La lectura diaria de estas decisiones se describe en Leer y exportar una decisión del filtro.
Dos relojes que no deben confundirse
El reloj técnico del filtro
Es conocido y lo fija el producto. Para Klytic MTA:
| Dato | Plazo |
|---|
| Remitente, destinatarios, asunto, cuerpo, nombres de los adjuntos, tras una entrega normal | Purgados a los 2 días por defecto; plazo configurable |
| Marca de tiempo, dominio remitente, puntuaciones, decisión, metadatos del análisis | Conservados tras la purga |
| Mensaje peligroso en cuarentena | Completo y cifrado mientras es válido el enlace de liberación, 7 días |
| Mensaje en cola (servidor de buzones inaccesible) | Cifrado hasta la entrega o hasta que expire el plazo |
Consecuencia práctica: un mes después de los hechos, el filtro sabe que un mensaje de un dominio determinado se puso en cuarentena, con qué puntuación y qué motivo. Ya no sabe quién lo envió a quién ni lo que decía. Si un control busca el contenido, hay que buscarlo en el buzón o en el archivo.
Cuidado con una confusión frecuente: la copia de seguridad de 30 días anunciada para los buzones de Klytic Mail se refiere a los buzones, no a los registros de la pasarela. Son dos servicios y dos plazos.
El reloj elegido por la empresa
Depende de la finalidad. Ningún texto fija un plazo único para un registro de filtrado del correo. El marco es el del RGPD: se conserva mientras la finalidad lo justifique, y se documenta.
Una referencia útil: para el registro de los accesos y de las operaciones sobre un tratamiento de datos personales, la CNIL recomienda un plazo de entre seis meses y un año, más en algunos casos justificados. Esta recomendación no es prescriptiva y se refiere ante todo a los registros de acceso, no a un registro de filtrado. También recuerda que los registros no deberían conservar datos más allá del plazo previsto para los propios datos.
En la práctica, el plazo largo se aplica a la exportación, en su SIEM: es ahí donde usted fija la conservación, el acceso y la eliminación. El filtro, por su parte, guarda poco.
Ejemplo: tres meses después de un intento de fraude
Caso hipotético. En enero, varios empleados de una empresa reciben un mensaje falso de su directivo. En abril, la aseguradora pregunta qué ocurrió. ¿Qué se puede mostrar?
- En el filtro: la fecha, el dominio similar que escribió, la puntuación, el motivo (dominio similar, suplantación del nombre visible) y la decisión de cuarentena para cada mensaje. Ya no las direcciones de los destinatarios ni el texto, purgados hace tiempo.
- En el SIEM, si la empresa tiene la oferta Avanzado y conserva la exportación más tiempo: el mismo registro, con lo que la política de la empresa haya decidido guardar, cruzado con los inicios de sesión de aquel momento.
- En los buzones: nada, puesto que los mensajes se detuvieron antes.
Por tanto, la prueba se basa en la decisión, no en el contenido. Si la empresa quiere guardar más, es una decisión que debe tomar antes del incidente, fijando la conservación de la exportación.
Quién accede a los registros
- El administrador de Klytic MTA lee las decisiones de sus dominios y recibe la exportación al SIEM en la oferta Avanzado.
- El usuario ve su propia cuarentena, mediante el enlace que recibe, tenga o no un buzón de Klytic: véase Cuarentena, falsos positivos y notificaciones.
- En su SIEM, se aplican sus reglas de acceso: limite la lectura a las personas encargadas de la seguridad.
Un registro de seguridad contiene a su vez datos personales, aunque solo sean dominios y horas: se protege y se purga como ellos.
Buenas prácticas
- Poner por escrito la finalidad: diagnóstico, prueba, investigación, supervisión.
- Fijar el plazo de la exportación en consecuencia e inscribirlo en el registro de actividades de tratamiento.
- Restringir el acceso y registrar la consulta de los propios registros.
- No convertir el registro en un archivo del correo: guardar los metadatos, no el cuerpo de los mensajes.
- Probar una búsqueda real: encontrar la decisión tomada sobre un mensaje de hace tres meses.
Las grabaciones telefónicas obedecen a otra lógica y a otros plazos: véase cuánto tiempo conservar las grabaciones.
Preguntas frecuentes
¿Se puede recuperar el contenido de un mensaje filtrado hace un mes?
No en el filtro, si se entregó: el contenido se purga tras el plazo breve. Búsquelo en el buzón o en el archivo.
¿Cuánto tiempo hay que conservar los registros?
Según la finalidad, que debe documentarse. La recomendación de la CNIL sobre el registro de actividad da un orden de magnitud de seis meses a un año.
¿Está incluida la exportación a un SIEM en la oferta Esencial?
No, forma parte de la oferta Avanzado. La oferta Esencial explica cada decisión en los encabezados.
¿Hace falta Klytic Mail para tener estos registros?
No. Los genera Klytic MTA, sea cual sea el correo situado detrás.
Dónde se sitúa Klytic
Klytic MTA explica cada decisión con una puntuación y un motivo en los encabezados, tanto en la oferta Esencial como en la Avanzado. La oferta Avanzado añade los registros exportables a su SIEM y la consola DMARC.
La retención técnica es limitada: ninguna conservación duradera del mensaje entregado, purga del detalle personal del análisis a los 2 días por defecto, mensaje peligroso conservado cifrado mientras dura el enlace de liberación, cola cifrada. La conservación prolongada, si la necesita, se hace en su herramienta, a partir de la exportación.
El servicio existe sin Klytic Mail. Se despliega en la nube de Klytic, en una instancia dedicada o en sus servidores.
Esta página describe un marco general. El plazo de conservación aplicable a su organización depende de sus finalidades y, en su caso, de obligaciones sectoriales.
Situación jurídica a 11 de octubre de 2026. Ningún texto consultado fija un plazo de conservación propio para los registros de filtrado del correo. La recomendación de la CNIL de 18 de noviembre de 2021 sobre el registro de actividad no es prescriptiva.
Fuentes
Consultadas en octubre de 2026.
- CNIL, «La CNIL publie une recommandation relative aux mesures de journalisation» (La CNIL publica una recomendación sobre las medidas de registro de actividad), 18 de noviembre de 2021: plazo de conservación recomendado de seis meses a un año para el registro de los accesos a un tratamiento, ampliaciones posibles si están justificadas, recomendación no prescriptiva. cnil.fr
- Klytic, página Klytic MTA: decisión explicada en los encabezados (Esencial y Avanzado), registros CIS / NIST exportables a un SIEM (Avanzado), módulos de las ofertas Esencial y Avanzado, opciones, modos de despliegue, puesta en servicio mediante el MX. klytic.com
