Cómo securizar el correo saliente de un ISP

En un ISP el correo saliente es un bien común. La IP que entrega el aviso de factura es la misma que, si nadie lo impide, entregará el phishing de un buzón robado. Gmail y Microsoft no distinguen tus productos: distinguen la IP y el dominio.

El mínimo que sí o sí

Autenticación publicada de verdad: SPF que enumera solo los relays que envían, DKIM en cada dominio que sale, y DMARC al menos en modo observación para ver quién más envía en tu nombre. Sin esos tres, cualquier control posterior es adivinanza.

Límites. Por buzón, por dominio y por hora. Un formulario web comprometido se delata por el ritmo, no por el contenido. Si el techo es infinito, la primera noticia será la lista negra.

Separación de flujos. El transaccional y el boletín no deberían compartir reputación si el volumen del segundo es alto. Mezclarlos es barato hasta el día en que deja de serlo.

Lo que el panel del cliente no resuelve

El usuario del hosting no va a configurar DKIM bien. El operador sí puede imponer el smart host, firmar de forma centralizada y rechazar el envío directo a internet desde la máquina del cliente. Ese es el sentido de un relay saliente: la puerta de salida es una sola y está vigilada.

Señales de que ya llegas tarde

Diferidos 421 constantes, un 550 que menciona Spamhaus o Outlook, y colas que crecen solo hacia Microsoft. En ese punto no se “reintenta más fuerte”. Se para el dominio que ensucia, se mira el PTR y se sigue la guía de códigos SMTP antes de tocar el resto de la plataforma.