Dos lugares posibles para el filtro
Todo servicio de correo profesional ya filtra los mensajes. Microsoft 365, Google Workspace, un servidor Exchange o un servidor alojado tienen un antispam y un antivirus integrados. Ese filtro está diseñado para la plataforma que lo incorpora: sus reglas, sus informes y sus registros residen en esa plataforma, y se van con ella el día en que se cambia de proveedor.
Pasarela SMTP. Un servidor de correo situado antes del buzón. La RFC 5321, que describe el transporte del correo en Internet, llama «agente de transferencia» (MTA) a un servidor que recibe un mensaje y lo transmite más allá. El registro MX del dominio apunta a la pasarela: por tanto, es a ella a quien contactan primero los servidores remitentes.
Tras el análisis, la pasarela entrega el mensaje al servidor de buzones. Los usuarios no la ven. Conservan su programa, su correo web y su teléfono.
Consecuencia práctica: la pasarela no depende del buzón. Se puede cambiar de servidor de correo sin cambiar de filtro, o reforzar el filtro sin cambiar de servidor. Son dos compras distintas, que se deciden por separado.
Antes o después de la entrega
Un filtro puede actuar en dos momentos, y la elección no es neutra.
- Antes de la entrega. El mensaje se analiza mientras está en tránsito. Si se considera peligroso, no entra en el buzón. Un adjunto malicioso puede retirarse y sustituirse por un mensaje informativo. Un mensaje dudoso va a cuarentena en lugar de entregarse.
- Después de la entrega. El mensaje ya está en el buzón cuando el análisis concluye, o cuando llega una información nueva, por ejemplo un enlace señalado unas horas más tarde. La herramienta debe entonces ir a retirarlo. Mientras tanto, el usuario ha podido abrirlo, hacer clic o reenviar el adjunto.
Ambos enfoques se combinan a menudo: un análisis previo y, después, una protección que continúa en el momento del clic, porque un sitio limpio en la recepción puede volverse malicioso más tarde. Ninguno pretende detenerlo todo.
Klytic sitúa el análisis antes del buzón por una razón sencilla: lo que no se entrega no hay que recuperarlo. Eso no exime de un reflejo humano cuando un mensaje creíble supera todos los controles, como en el fraude del CEO.
Por qué situar un MTA de seguridad delante del servidor
- Una herramienta especializada en esa tarea. La pasarela no gestiona ni agendas ni almacenamiento. Sus reglas se refieren al remitente, al contenido y a los adjuntos, y se configuran dominio por dominio.
- Una protección que se mantiene. Sobrevive a un cambio de servidor de buzones y puede cubrir varios servidores a la vez: una filial, un correo heredado, una plataforma nueva.
- Una decisión legible en un mismo lugar. Cada mensaje lleva el motivo de la decisión, sea cual sea el servidor que lo reciba después.
- Una segunda opinión. El filtro integrado del servicio de correo sigue funcionando detrás de la pasarela.
Lo que esto cuesta: un intermediario más en el recorrido. Hay que declararlo en el servidor de buzones; de lo contrario, este ve llegar todo el correo desde una sola dirección y juzga mal al remitente real. También hay que revisar SPF, DKIM y DMARC. La página Proteger el correo que ya tiene describe estos ajustes.
Afecta a todo el mundo
Para la ANSSI, la agencia francesa de ciberseguridad, el correo electrónico es «el principal vector de infección del puesto de trabajo» (traducción), y los sistemas de correo son «uno de los principales vectores de ataque, ya que están muy extendidos y expuestos en Internet». Phishing, adjunto malicioso, falsa orden de transferencia: basta una dirección de correo electrónico para ser objetivo, y una microempresa lo es tanto como un gran grupo.
La ANSSI incluye la protección del correo entre sus diez reglas de oro de la seguridad digital, y su catálogo de medidas recomienda implantar una solución antispam y antiphishing. Su guía sobre la interconexión de un sistema de información a Internet recuerda que el uso profesional del correo está muy extendido «sean cuales sean el tamaño y el sector de actividad de la entidad», y que los mecanismos antispam y de búsqueda de contenido malicioso «deben implantarse».
Un filtrado de seguridad del correo ya no es, por tanto, opcional. La verdadera pregunta es dónde se sitúa y qué sabe detener antes de que el mensaje llegue al buzón.
La pasarela añade al filtro del servicio de correo un análisis que no depende del proveedor de sus buzones, una misma política para varios servidores o varias sociedades, y decisiones que se pueden explicar.
Ningún filtro, integrado o situado delante, sustituye los reflejos que recuerda la ANSSI: no hacer clic en un enlace o un adjunto dudoso, no responder a un correo sospechoso, verificar por otro canal, activar la doble autenticación.
Lo que ve la pasarela y lo que conserva
Para decidir, una pasarela lee todo el mensaje: el remitente anunciado y el servidor que lo envía, los resultados de autenticación (SPF, DKIM, DMARC), el texto, los enlaces, los adjuntos. De ahí extrae una decisión: entregar, poner en cuarentena, rechazar o aplazar a un remitente desconocido.
Leer no es conservar. La pregunta adecuada para un proveedor es: ¿qué queda, y durante cuánto tiempo? En el caso de Klytic MTA, la respuesta distingue tres casos, más el rastro de la decisión.
| Situación | Lo que se conserva | Duración |
|---|
| Entrega normal | Los datos personales del análisis (remitente, destinatarios, asunto, cuerpo, nombres de los adjuntos) se purgan. Quedan la marca de tiempo, el dominio remitente, las puntuaciones y la decisión. | Purga a los 2 días por defecto, plazo configurable |
| Mensaje peligroso en cuarentena | El mensaje completo, cifrado | El periodo de validez del enlace de liberación, 7 días |
| Servidor de buzones inaccesible | El mensaje, cifrado (AES-256-GCM), en cola de espera | Hasta la entrega o hasta que expire el plazo |
| Todas las decisiones | Puntuación y motivo, sin el contenido | Datos técnicos conservados para las estadísticas |
«Ningún almacenamiento de los mensajes en funcionamiento normal» significa, por tanto: ninguna copia duradera del correo entregado. No significa «cero datos». La pasarela conserva el rastro de sus decisiones y, durante unos días, el detalle del análisis. Los plazos se detallan en Conservar y revisar los registros de seguridad del correo electrónico.
El recorrido, paso a paso
- Un servidor remitente busca el MX de su dominio. Encuentra la pasarela y le entrega el mensaje.
- La pasarela verifica el remitente (autenticación, reputación), el mensaje (enlaces, texto, escenario conocido) y, después, los adjuntos.
- Mensaje limpio: lo entrega a su servicio de correo, sea cual sea: Microsoft 365, Google Workspace, Exchange, Klytic Mail u otro servidor.
- Mensaje peligroso: va a una cuarentena cifrada. El destinatario recibe un aviso y puede liberarlo mediante un enlace si se trata de un error.
- Mensaje rechazado: el servidor remitente recibe un rechazo y avisa a su usuario.
- Su servidor de buzones no responde: el mensaje espera, cifrado, y se entrega en cuanto el servidor vuelve a estar disponible.
Este recorrido se basa en el comportamiento normal de SMTP: un servidor que recibe un error temporal conserva el mensaje y vuelve a intentarlo. La guía migrar un servicio de correo sin interrupción explica por qué este mecanismo evita perder correo durante un cambio de MX.
Preguntas frecuentes
¿Necesita una pequeña empresa un filtrado de seguridad?
Sí. Los ataques por correo electrónico no eligen su objetivo por su tamaño. La pasarela es una forma de implantar ese filtrado sin cambiar de servicio de correo: consulte Proteger el correo que ya tiene.
¿Sustituye una pasarela al filtro de Microsoft 365 o de Google Workspace?
No. El filtro integrado sigue trabajando detrás de ella. Los proveedores describen cómo declarar una pasarela para que su propio análisis siga siendo correcto: consulte Proteger el correo que ya tiene.
¿Retrasa la pasarela el correo?
El análisis añade un paso. El caso visible es intencionado: un remitente desconocido puede quedar brevemente en espera, lo que descarta envíos automáticos que nunca vuelven a intentarlo.
¿Se puede cambiar de servicio de correo conservando la pasarela?
Sí. El MX sigue apuntando a la pasarela; solo cambia el servidor de entrega. El desarrollo de un cambio se describe en migrar un servicio de correo sin interrupción.
¿Qué ocurre con un mensaje apartado por error?
Está en cuarentena, no eliminado. Consulte Cuarentena, falsos positivos y notificaciones.
¿Qué diferencia hay con un servicio de correo dedicado o instalado en sus propias instalaciones?
Es una cuestión del buzón, no del filtro. Se trata en correo en la nube, dedicado o en sus instalaciones.
Dónde se sitúa Klytic
Klytic MTA es una pasarela de este tipo. Se contrata por separado, sin Klytic Mail, y entrega a Klytic Mail, Microsoft 365, Google Workspace, Exchange o cualquier otro servidor de correo.
- Esencial: autenticación y reputación (SPF, DKIM, DMARC, incluso para los mensajes reenviados, antigüedad de los dominios, listas negras), antispam, antivirus, antiphishing, dominios similares y nombre visible, macros y PDF maliciosos, cuarentena cifrada y liberación, firma DKIM de los envíos, recuperación antes del envío, firma S/MIME de los envíos para un servicio de correo que no la gestiona, si el cliente la activa y confía su clave (el suministro del certificado es opcional), arbitraje mediante IA de los mensajes ambiguos, puntuación y motivo en los encabezados.
- Avanzado: todo lo de la oferta Esencial, más el fraude del CEO y los fraudes financieros, los enlaces analizados de nuevo en el momento del clic, los archivos HTML maliciosos, la consola DMARC y los registros exportables a un SIEM.
El servicio se despliega en la nube de Klytic, en una instancia dedicada o en sus servidores. La nube de Klytic se aloja en cualquier zona geográfica que corresponda a la jurisdicción aplicable, sujeto a la disponibilidad de los servicios, en particular en Europa o en Mauricio. La puesta en servicio suele llevar de 24 a 48 horas: Klytic prepara la configuración y después usted modifica el MX de su dominio, o Klytic lo hace por usted.
Lo que Klytic MTA no hace: no sustituye su servicio de correo, sus cuentas ni sus permisos, y solo ve el correo que pasa por él. Para Microsoft 365 y los demás servicios de correo, consulte Proteger el correo que ya tiene.
Esta página describe una arquitectura general. El ajuste exacto depende de su servicio de correo y de sus dominios.
Fuentes
Consultadas en octubre de 2026.
- RFC 5321, Simple Mail Transfer Protocol: los servidores SMTP actúan como agentes de transferencia (MTA); los hosts intermedios suelen designarse mediante el registro MX del DNS. rfc-editor.org
- Klytic, página Klytic MTA: módulos de las ofertas Esencial y Avanzado, opciones, modos de despliegue, puesta en servicio mediante el MX, conservación de los mensajes limitada a la cola de espera y a la cuarentena. klytic.com
- ANSSI, «10 règles d’or en matière de sécurité numérique» (10 reglas de oro de la seguridad digital): la 6.ª regla, «Protégez votre messagerie électronique» (Proteja su correo electrónico), describe el phishing y recomienda desconfiar de los enlaces y adjuntos dudosos, verificar por otro canal y activar la doble autenticación. cyber.gouv.fr
- ANSSI, «Guide d’hygiène informatique» (Guía de higiene informática), versión 2.0, septiembre de 2017, medida 24 «Protéger sa messagerie professionnelle» (Proteger el correo profesional): «El correo electrónico es el principal vector de infección del puesto de trabajo» (traducción). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, catálogo de medidas, medida «Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage» (Implantar una solución antispam y antiphishing): «Los sistemas de correo son uno de los principales vectores de ataque, ya que están muy extendidos y expuestos en Internet» (traducción). monservicesecurise.cyber.gouv.fr
- ANSSI, «Recommandations relatives à l’interconnexion d’un système d’information à Internet» (Recomendaciones sobre la interconexión de un sistema de información a Internet), ANSSI-PA-066, versión 3.0, 19 de junio de 2020, capítulo 5 «Sécurisation du service de messagerie électronique» (Protección del servicio de correo electrónico): el correo «se ha convertido en uno de los principales vectores de ataque informático» (traducción) (phishing, adjuntos maliciosos); § 5.2.3, los mecanismos antispam y de búsqueda de contenido malicioso «deben implantarse». messervices.cyber.gouv.fr
