a protección del correo electrónico empresarial en 2026 consiste en colocar un filtro frente a cada buzón de su dominio. Se redirigen los registros MX del dominio hacia una pasarela de filtrado, que analiza cada mensaje entrante en busca de spam, phishing, malware y suplantación (spoofing), para luego entregar el correo limpio a Microsoft 365, Google Workspace, cPanel/WHM o Exchange. SPF, DKIM y DMARC protegen su propio dominio contra la falsificación. iBlockSpam, el servicio de protección de correo de BroadNet, funciona de esta manera con un precio fijo por dominio.
Datos verificados en sus fuentes el 22 de octubre de 2026: el informe anual IC3 de 2025 del FBI, Microsoft Learn, la ayuda de administración de Google Workspace, Yahoo Sender Hub, el anuncio de la comunidad técnica de Microsoft para Outlook.com, el editor RFC (RFC 5321, 6376, 7208, 7489 y 9989) y el propio sitio web de iBlockSpam. Cada cifra está vinculada a su fuente. Los precios y límites pueden cambiar, por lo que se recomienda consultar las páginas oficiales antes de la compra.
| Pregunta | Respuesta corta |
|---|---|
| ¿Qué tan grande es el problema? | En 2025, el IC3 del FBI registró 24.768 denuncias por compromiso de correo electrónico empresarial con pérdidas reportadas de $3.050 millones, y 191.561 denuncias por phishing/spoofing |
| ¿Dónde se ubica el filtrado de entrada? | En el registro MX: el correo va de remitente → pasarela de filtrado → su plataforma de correo → bandeja de entrada |
| Configuración de Microsoft 365 | Conector de entrada de socio, vinculado al filtro, con Enhanced Filtering for Connectors activado |
| Configuración de Google Workspace | Añada el filtro como una pasarela de entrada en la consola de administración |
| ¿Qué protege su propio dominio? | SPF (RFC 7208), DKIM (RFC 6376) y DMARC (RFC 7489, sustituido por RFC 9989 en mayo de 2026) |
| Reglas para remitentes masivos | Gmail y Outlook.com requieren SPF, DKIM y DMARC de los dominios que envían más de 5,000 mensajes al día; Yahoo aplica lo mismo a los remitentes masivos sin publicar un umbral |
| Precio de iBlockSpam | Desde $12 por dominio al mes facturados anualmente, con buzones de correo ilimitados |
Por qué el correo electrónico empresarial sigue siendo el principal método de
El 2025 Internet Crime Report del FBI contabilizó 1.008.597 denuncias y 20.877 millones de dólares en pérdidas reportadas. El phishing/spoofing fue el tipo de delito más denunciado, con 191.561 quejas. El compromiso del correo electrónico empresarial (BEC) tuvo muchas menos denuncias, 24.768, pero las pérdidas reportadas ascendieron a 3.046.598.558 $, frente a los 2.770.151.146 $ de 2024. Entre los tipos de fraude facilitados por medios cibernéticos, solo el fraude de inversión costó más a las víctimas. El informe también señala que las empresas reportaron más de 30 millones de dólares en pérdidas por estafas de BEC que involucraron IA.
Estas cifras solo cubren las denuncias presentadas ante IC3, por lo que muestran la tendencia en lugar del coste total. También muestran que las dos amenazas actúan en conjunto. El phishing es el ataque de volumen. El BEC es la recompensa, donde un correo convincente de un "proveedor" o un "ejecutivo" pide a alguien que cambie los datos bancarios o apruebe una transferencia. IC3 define el phishing como correos electrónicos, mensajes de texto y llamadas telefónicas no solicitados, por lo que el mismo manual de estrategia también se aplica a SMS. Nuestra guía sobre defensa contra el smishing cubre la parte de los mensajes de texto.
Cómo funciona el filtrado de entrada: el registro MX decide
Bajo el protocolo SMTP (RFC 5321), un servidor remitente busca los registros MX de su dominio para saber dónde entregar el correo. Cualquier destino al que apunten esos registros recibe primero cada mensaje entrante. Una pasarela de filtrado cambia la ruta de "remitente → su servidor de correo" a "remitente → pasarela → su servidor de correo". La pasarela acepta la conexión, comprueba la reputación y la autenticación del remitente, analiza los enlaces y archivos adjuntos, y finalmente entrega el mensaje, lo pone en cuarentena o lo rechaza.
Sus buzones de correo no se mueven. Los usuarios mantienen las mismas aplicaciones, contraseñas y carpetas. Dos configuraciones importan más que cualquier otra cosa. Primero, cada registro MX debe apuntar a la pasarela, ya que un registro MX de respaldo olvidado que aún apunte directamente a su servidor de correo permite que los atacantes se salten el filtro. Segundo, su plataforma de correo debe aceptar correo entrante de internet únicamente desde la pasarela. La protección integrada de Microsoft sigue funcionando detrás de la pasarela, por lo que termina con dos capas independientes en lugar de una.
Microsoft 365, Google Workspace y cPanel: detalles de la plataforma
Microsoft 365 y Exchange Online
Microsoft documenta esta configuración en Manage mail flow using a third-party cloud service. El registro MX apunta al servicio de filtrado, y usted crea un conector de entrada de socio (Partner inbound connector) que solo acepta correo que llegue desde el certificado o las direcciones IP del servicio. Sin esto, los atacantes pueden enviar directamente a su inquilino (tenant) y eludir el filtro. Microsoft "recomienda encarecidamente" activar Enhanced Filtering for Connectors, también llamado skip listing. Con una pasarela al frente, cada mensaje llega desde la dirección IP de la pasarela. El filtrado mejorado (Enhanced Filtering) preserva la IP de origen y la información del remitente, de modo que las comprobaciones de SPF, DKIM, DMARC y anti-spoofing de Microsoft siguen viendo al remitente real. Microsoft desaconseja simplemente omitir el filtrado de spam para las IPs de la pasarela, ya que esas direcciones suelen compartirse entre muchos clientes.
Google Workspace
En Google Workspace, registra el filtro como una pasarela de correo entrante en la consola de administración, enumera sus direcciones IP y, opcionalmente, rechaza todo el correo que no provenga de la pasarela. Google señala que Gmail no aplica la política DMARC del remitente en los mensajes que llegan a través de la pasarela, aunque sigue utilizando los resultados de la autenticación para combatir el spam y el phishing. Por lo tanto, su pasarela debe realizar sus propios controles de SPF, DKIM y DMARC.
cPanel/WHM y Exchange on-premises
Los servidores de alojamiento y Exchange autogestionados siguen la misma lógica de MX. Antes de cambiar el DNS, confirme qué servidor recibe realmente el correo del dominio. Luego, apunte el MX a la pasarela, configure la pasarela para que entregue al servidor y restrinja el SMTP entrante a las direcciones de la pasarela donde su configuración lo permita. Reduzca el TTL del registro MX con un día de antelación para que tanto el cambio como cualquier reversión surtan efecto rápidamente.
SPF, DKIM y DMARC: protegiendo su propio dominio
El filtrado de entrada protege a sus usuarios. La autenticación de dominio protege a todos los que reciben correos que afirman provenir de su dominio. Cada uno de los tres estándares demuestra algo diferente:
- **SPF** (RFC 7208) publica qué servidores pueden enviar correo en nombre de su dominio. Los controles están limitados a 10 mecanismos de consulta DNS, por lo que un registro con demasiadas entradas "include" fallará.
- **DKIM** (RFC 6376) añade una firma criptográfica que los receptores verifican mediante una clave pública publicada en su DNS. Demuestra que el dominio firmante envió el mensaje y que este no fue alterado.
- **DMARC** (RFC 7489) vincula SPF o DKIM al dominio en la dirección visible From:, indica a los receptores qué hacer cuando un mensaje falla (none, quarantine o reject) y le envía informes sobre quién está enviando correos como si fuera su dominio.
En mayo de 2026, el IETF publicó RFC 9989, la especificación DMARC actualizada (el trabajo "DMARCbis"), en la vía de estándares. Esta deja obsoleta la RFC 7489, y dos RFC complementarias, la 9990 y la 9991, cubren los informes agregados y de fallos. Los registros DMARC existentes siguen funcionando. El camino habitual sigue siendo el mismo: publicar p=none, leer los informes, corregir a cada remitente legítimo y luego pasar a quarantine y, finalmente, a reject.
Dominios similares, suplantación de identidad y cuarentena
DMARC evita que los atacantes utilicen su dominio exacto. No puede impedir que registren uno similar, con una letra cambiada, un guion añadido o una terminación diferente, y que envíen mensajes desde allí con SPF y DKIM totalmente válidos. Muchos intentos de BEC funcionan de esta manera, razón por la cual un buen filtro también analiza la suplantación de nombre de remitente, los dominios de remitentes recién detectados y los dominios similares al suyo. El monitoreo de registros de dominios similares a su dominio le alerta antes de que uno de ellos comience a enviar correos.
La cuarentena decide si las personas aceptarán un filtro en absoluto. El correo sospechoso debe retenerse, no eliminarse, y cada usuario debería poder ver qué se retuvo y liberar un mensaje real sin tener que abrir un ticket. Los administradores necesitan una vista de todo el dominio y un historial de mensajes para rastrear cualquier queja sobre correos faltantes. El propio servicio de Microsoft, por ejemplo, envía el phishing de alta confianza directamente a una cuarentena exclusiva para administradores de forma predeterminada. Decida con antelación quién puede liberar qué.
Qué significan las reglas de remitente de Gmail, Yahoo y Outlook.com para su dominio
Desde el 1 de febrero de 2024, las directrices de remitentes de correo electrónico de Google exigen que todo remitente de cuentas de Gmail configure SPF o DKIM, utilice TLS, tenga DNS de reenvío y reversa válidos, y mantenga la tasa de spam reportada en Postmaster Tools por debajo del 0,3 %. Los remitentes de más de 5.000 mensajes al día también deben contar con SPF, DKIM y DMARC, con el dominio From: alineado, y ofrecer la opción de baja con un solo clic para correos de marketing. El Sender Hub de Yahoo establece la misma base: SPF o DKIM para todos, ambos más DMARC de al menos p=none para remitentes masivos, una tasa de spam inferior al 0,3 % y bajas procesadas en un plazo de 2 días. Yahoo afirma que no publica un umbral de volumen para determinar quién cuenta como remitente masivo.
Microsoft siguió este camino para las direcciones de consumo de Outlook.com (hotmail.com, live.com, outlook.com). Su anuncio de abril de 2025 exige que los dominios que envían más de 5.000 correos electrónicos al día superen SPF y DKIM y publiquen DMARC de al menos p=none, alineado con SPF o DKIM. A partir del 5 de mayo de 2025, el correo que no cumpla con esto será rechazado con el error "550; 5.7.515 Access denied". Para una empresa típica, esto tiene dos consecuencias. Cada plataforma que envíe como su dominio, como su CRM, herramienta de facturación o plataforma de marketing, necesita una autenticación alineada. Y una vez que se aplique DMARC, también hará que sea mucho más difícil falsificar su dominio ante sus propios clientes. Para envíos transaccionales y de marketing, el servicio de correo electrónico de BroadNet gestiona el envío autenticado a través de SMTP y API.
Lista de verificación: cómo elegir un filtro de correo entrante
- ¿Funciona frente a su plataforma (Microsoft 365, Google Workspace, cPanel/WHM, Exchange) utilizando el método documentado del proveedor, como un conector con filtrado mejorado o una pasarela de entrada?
- ¿Verifica SPF, DKIM y DMARC en el propio correo entrante, y detecta la suplantación de nombre de remitente y de dominios similares?
- ¿Cada usuario recibe una cuarentena personal con resúmenes, además de una vista de administrador e historial de mensajes con opción de búsqueda?
- ¿Qué sucede si su servidor de correo se cae? Busque un periodo de spooling declarado.
- ¿El precio es por usuario o por dominio? ¿Qué límites de volumen y tamaño de mensaje se incluyen?
- ¿La configuración registra su DNS actual y proporciona pasos de reversión? ¿Existe algún sistema que supervise MX, SPF y DMARC para detectar desviaciones posteriormente?
- ¿Dónde se procesa el correo, qué se almacena y durante cuánto tiempo?
- ¿Están detallados los términos de reembolso, la cancelación y el proceso de baja antes de la firma?
El correo electrónico es solo un canal. Si sus clientes reciben contraseñas de un solo uso o alertas por SMS, aplique la misma disciplina allí. Consulte nuestra guía de estándares de seguridad SMS OTP y utilice MobileValidate para verificar números de teléfono y direcciones de correo electrónico antes de realizar el envío.
Cómo encaja iBlockSpam
iBlockSpam forma parte de la familia de marcas BroadNet. Según su página de funcionamiento, usted redirige sus registros MX a los servidores de filtrado de iBlockSpam, y cada mensaje entrante se analiza en busca de spam, virus, malware, phishing y spoofing antes de que el correo limpio se envíe al servidor que ya utiliza. Los pasos son: verificar, configurar, validar y supervisar. Un asistente guiado muestra el DNS actual y el nuevo de forma paralela y guarda los pasos de reversión. iBlockSpam no edita su DNS por usted. Sus datos publicados:
- Compatible con Microsoft 365, Google Workspace, cPanel/WHM, Exchange y otros servidores de correo.
- Cuarentena personal para cada usuario con resúmenes programados, una cuarentena administrativa compartida y 30 días de historial de mensajes.
- Si su servidor de correo está caído, el correo se retiene hasta 5 días y se entrega cuando el servidor se restablezca.
- Buzones y alias de dominio ilimitados. Cada dominio incluye 100,000 mensajes entrantes al mes, un tamaño máximo de mensaje de 400 MB y 500 mensajes de retransmisión saliente con firma DKIM.
- Vigilancia de dominios similares (Lookalike Domain Watch), monitoreo de informes DMARC y alertas de desviación de MX/SPF/DMARC (semanales en Protect, diarias en Protect Plus).
- El correo se procesa en los Estados Unidos.
Los precios son por dominio, en USD, sin impuestos: **Protect** cuesta $12 por dominio al mes facturados anualmente ($144 al año) o $15 mes a mes. **Protect Plus** cuesta $19 facturados anualmente ($228 al año) o $24 mes a mes, y añade monitoreo diario, un informe mensual para el propietario y una sesión de configuración con un especialista. No hay prueba gratuita. En su lugar, la primera suscripción anual de un dominio cuenta con una garantía de devolución de dinero de 30 días. El Email Health Check gratuito analiza sus selectores MX, SPF, DMARC y DKIM comunes sin necesidad de una cuenta. El amplio enfoque de seguridad de BroadNet y su Trust Center cubren las certificaciones del grupo.
Preguntas frecuentes
¿Es suficiente el filtro de spam integrado de Microsoft 365 para una empresa?
Para algunas organizaciones, lo es. Microsoft 365 incluye protección contra spam, malware y phishing para cada buzón en la nube, y está activada por defecto. Una pasarela independiente añade una capa adicional frente a ella, con su propia detección, cuarentenas personales, almacenamiento temporal por interrupción del servicio y controles por dominio. Si añade una, siga la configuración documentada de Microsoft: un conector de Partner restringido con Enhanced Filtering for Connectors activado.
¿Qué es un filtro de spam de nivel MX?
Un filtro de spam de nivel MX es un servicio al que apuntan los registros MX de su dominio, por lo que recibe todo el correo entrante antes que su servidor de correo. Analiza cada mensaje en busca de spam, phishing, malware y suplantación de identidad (spoofing), entrega el correo limpio a su plataforma actual y retiene el correo sospechoso en cuarentena. Sus buzones, aplicaciones y contraseñas permanecen iguales. Solo cambia la ruta que sigue el correo para llegar a ellos.
¿Qué es Enhanced Filtering for Connectors en Exchange Online?
Enhanced Filtering for Connectors, también conocida como skip listing, es un ajuste de Microsoft 365 para conectores de entrada que reciben correo de un servicio situado frente a Exchange Online. Analiza más allá de la dirección IP de la pasarela para identificar al remitente original, de modo que las comprobaciones de SPF, DKIM, DMARC y anti-spoofing de Microsoft evalúan la fuente real. Microsoft recomienda encarecidamente su uso siempre que su registro MX apunte a un filtro que no sea de Microsoft.
¿Detienen SPF, DKIM y DMARC los correos de phishing?
Detienen un tipo de phishing: el correo que falsifica su dominio exacto. Con DMARC configurado en cuarentena o rechazo, los receptores pueden bloquear mensajes que utilicen falsamente su dirección From:. No detienen los dominios similares (lookalike), las cuentas comprometidas de proveedores reales ni el phishing enviado desde cuentas gratuitas debidamente autenticadas. Para eso se requiere filtrado de entrada, comprobaciones de suplantación de identidad y personal que verifique los cambios de pago a través de un segundo canal.
¿Qué cambió con las reglas para remitentes masivos de Gmail, Yahoo y Outlook.com?
Desde febrero de 2024, Gmail (más de 5,000 mensajes al día) y Yahoo (remitentes masivos, sin un umbral publicado) requieren SPF y DKIM, DMARC de al menos p=none con alineación, baja con un solo clic y tasas de spam inferiores al 0.3%. Desde el 5 de mayo de 2025, Outlook.com rechaza el correo que no cumple con las normas de dominios de alto volumen con el error 550 5.7.515. Cada remitente necesita al menos SPF o DKIM.
¿Cuál es la diferencia entre phishing y business email compromise?
El phishing es la categoría general: mensajes no solicitados que suplantan a una organización de confianza para robar credenciales, dinero o datos. El business email compromise es un fraude dirigido contra empresas que pagan a proveedores o transfieren fondos mediante transferencia bancaria, utilizando una cuenta de correo comprometida o suplantada para redirigir los pagos. El informe IC3 de 2025 del FBI registró 191,561 denuncias de phishing/spoofing y 24,768 denuncias de BEC, con pérdidas de $3.05 mil millones en BEC.
¿Bloqueará un filtro de correo los mensajes legítimos?
Cualquier filtro puede juzgar erróneamente un mensaje, por lo que la salvaguarda es la cuarentena en lugar de la eliminación. Busque una cuarentena personal con resúmenes periódicos para que los usuarios puedan liberar ellos mismos un mensaje retenido, una cuarentena administrativa compartida, listas de remitentes aprobados para contactos conocidos y un historial de mensajes para rastrear lo sucedido. iBlockSpam, por ejemplo, ofrece cada una de estas funciones y mantiene 30 días de historial de mensajes.
¿Cuánto cuesta iBlockSpam?
iBlockSpam tiene un precio por dominio con buzones ilimitados. Protect cuesta $12 por dominio al mes con facturación anual ($144 al año) o $15 con facturación mensual. Protect Plus cuesta $19 con facturación anual ($228 al año) o $24 mensual, e incluye monitoreo diario de DNS, un informe mensual para el propietario y una sesión de configuración con un especialista. Los precios están en USD sin impuestos incluidos. No hay prueba gratuita, pero las primeras suscripciones anuales cuentan con una garantía de devolución de dinero de 30 días.
¿Está listo para saber el estado de su dominio? Realice el Email Health Check gratuito en iBlockSpam y luego compare los planes Protect y Protect Plus. La configuración requiere un cambio de MX más pasos guiados en la plataforma, y sus buzones permanecerán donde están.