Módulo 3 · 3.3

Español

Nederlands English Deutsch Français Español Italiano Polski

Pseudónimos, redirección y captura-todo: prácticos, pero con riesgos

Módulo 3: Gestionar su buzón de correo · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección podrá elegir entre un buzón, un pseudónimo, una redirección y un correo de captura-todo, y explicar por qué redirigir a una dirección externa y el correo de captura-todo pueden perjudicar la entrega de su correo.

Conceptos clave: buzón, pseudónimo, forwarder (redirección), redirección interna y externa, el SPF se rompe al redirigir, SRS (Sender Rewriting Scheme), DKIM al redirigir, ARC (RFC 8617), correo de captura-todo, ataque de diccionario, backscatter, enviar en nombre de otra dirección

Cuatro formas de hacer que una dirección funcione

Si quiere que offerte@example.com funcione, tiene cuatro opciones:

Opción	Qué es	Cuándo es útil
Buzón	Un espacio de almacenamiento propio con su propia contraseña. Puede iniciar sesión en él.	Alguien debe trabajar con él directamente, o el correo debe guardarse por separado.
Pseudónimo	Un segundo nombre para un buzón existente. El correo dirigido a `offerte@` llega al buzón de `info@`.	Una sola persona con varias direcciones.
Forwarder (redirección)	El correo dirigido a la dirección se redirige a una o varias direcciones distintas. No se guarda nada.	Una dirección que debe llegar a varios compañeros; una dirección antigua que debe seguir funcionando.
Correo de captura-todo	Todo el correo dirigido a direcciones que no existen llega a una sola dirección.	Casi nunca (vea más abajo).

En algunos paneles, un pseudónimo es técnicamente igual que una redirección a una dirección en el mismo servidor. La diferencia que realmente importa es esta: ¿permanece el correo en el mismo servidor, o sale hacia fuera?

Redirección dentro de su propio dominio: sin problema

Si redirige offerte@example.com a info@example.com, y ambas direcciones están en el mismo servidor, el servidor simplemente entrega el correo en el buzón de info@. Nada sale a internet, nada se vuelve a comprobar. Esto es seguro y fiable.

Redirección hacia fuera: dónde surgen los problemas

La cosa cambia cuando redirige a una dirección en otro proveedor, por ejemplo una dirección personal en Gmail u Outlook.com. En ese caso, su servidor vuelve a enviar el correo, ahora a Gmail. Y Gmail comprueba el correo como si viniera de su servidor.

Supongamos que klant@example.net envía un correo a info@example.com. Su servidor lo redirige a Gmail. ¿Qué ve Gmail?

Remitente (From): klant@example.net.
Remitente del sobre (envelope): sigue siendo klant@example.net, a menos que su servidor lo reescriba.
Servidor que envía: su servidor, por ejemplo 192.0.2.25.

Gmail consulta el registro SPF de example.net. Allí, lógicamente, no figura su servidor. El SPF falla. Si example.net tiene una política DMARC p=reject, y el correo no lleva una firma DKIM válida, Gmail rechaza el correo. Su servidor recibe un bounce de vuelta, que se envía al... remitente original, que ahora recibe un mensaje de error de su servidor.

Hay tres mecanismos que suavizan esto:

1. El DKIM sobrevive (casi siempre)

Una firma DKIM (lección 4.3) está incluida en el propio correo. Si su servidor redirige el correo sin modificarlo, la firma de example.net sigue siendo válida. En ese caso, DMARC se cumple mediante DKIM, aunque el SPF falle. Por eso DKIM es tan importante: es lo único que sobrevive a la redirección.

Pero el problema aparece si el servidor que redirige modifica el correo: añadir un texto al final ("reenviado por..."), cambiar el asunto (añadiendo [SPAM]) o convertir el formato. En ese caso, la firma deja de ser válida.

2. SRS reescribe el remitente del sobre

Con SRS (Sender Rewriting Scheme), el servidor que redirige cambia el remitente del sobre por una dirección de su propio dominio, por ejemplo:

SRS0=HHH=TT=example.net=klant@example.com

Ahora Gmail consulta el registro SPF de example.com, y allí sí figura su servidor. El SPF se cumple. Si se produce un bounce, su servidor puede traducir la dirección de nuevo y enviar el bounce al remitente real.

Tenga en cuenta: SRS soluciona el SPF, pero no el DMARC. La alineación (lección 4.4) compara el dominio del remitente del sobre con la dirección From. Ahora se trata de example.com frente a example.net: no están alineados. Por tanto, DMARC todavía debe cumplirse mediante DKIM.

3. ARC: una declaración del intermediario

ARC (Authenticated Received Chain, RFC 8617, experimental) permite que un intermediario registre lo que vio: "cuando este correo me llegó, el SPF, el DKIM y el DMARC se cumplieron". El servidor que redirige firma esa declaración. El destinatario final puede decidir confiar en esa declaración si confía en el intermediario. Grandes proveedores como Gmail y Microsoft usan ARC, pero no puede darlo por garantizado: es una cortesía, no un derecho.

¿Y el spam?

Hay otro problema, y a menudo es el más grave. Su filtro antispam no detiene todo. Todo el spam que logra pasar, su servidor lo redirige ahora a Gmail. Para Gmail, parece que su servidor envía spam. Esto perjudica la reputación de su servidor (y en el alojamiento compartido: la de todos los clientes de ese servidor). Después, Gmail también marca su correo real como spam con más frecuencia.

¿Qué es mejor?

¿Quiere leer su correo profesional en la aplicación de Gmail u Outlook? Añada el buzón como cuenta IMAP (módulo 2). La aplicación obtiene el correo directamente de su servidor. No se redirige nada, no falla ninguna comprobación y no sale spam hacia fuera. Si de todos modos necesita redirigir, configure el filtro antispam de forma estricta antes de la redirección.

Correo de captura-todo: por qué casi nunca

Un correo de captura-todo recoge todo el correo dirigido a direcciones que no existen. Un error de escritura como inof@example.com llega igualmente. Suena práctico, pero:

Spam. Los spammers envían correo masivo a direcciones inventadas en dominios existentes (a.jansen@, sales2@, xkq7@). Esto se llama un ataque de diccionario. Sin correo de captura-todo, su servidor rechaza todo esto de inmediato. Con captura-todo, todo llega, a menudo cientos de correos al día.
Ya no hay mensaje de error. Quien se equivoca al escribir su dirección no recibe un bounce y piensa que su correo ha llegado. Sin captura-todo, sabe de inmediato que la dirección es incorrecta.
La redirección lo empeora. Un correo de captura-todo que redirige a Gmail envía todo ese spam a Gmail.
Backscatter. Un servidor que primero acepta todo y solo después descubre que una dirección no existe, envía un bounce al remitente (falsificado). Esto se llama backscatter: mensajes de error a personas inocentes, y un motivo para acabar en una lista de bloqueo.

¿Quiere cubrir algunas direcciones adicionales, como un error de escritura habitual o una dirección antigua? Cree pseudónimos o redirecciones individuales para esos casos. ¿Usa una dirección propia por sitio web o tienda online (webshop-x@) para ver quién revende su dirección? Cree esa dirección como pseudónimo en el momento en que la use.

Enviar desde un pseudónimo

Un pseudónimo también puede ser un remitente. Por ejemplo, quiere responder como offerte@example.com mientras está conectado como info@. Esto es posible, pero:

Muchos servidores de correo comprueban actualmente qué dirección de remitente corresponde a qué inicio de sesión. Solo podrá enviar desde su propia dirección y los pseudónimos o redirecciones que apunten a su buzón. Cualquier otra dirección será rechazada ("account can not send emails from ..."). Esto protege frente al uso indebido.
En su programa de correo, añada el pseudónimo como identidad adicional (Thunderbird: Gestionar identidades; Apple Mail: direcciones adicionales en la cuenta, separadas por comas; Outlook: mostrar el campo Desde y escribir la dirección).
SPF, DKIM y DMARC funcionan con normalidad, siempre que el pseudónimo esté en el mismo dominio y envíe a través de su propio servidor.

En la práctica: así se ve en un panel

En DirectAdmin, cree las redirecciones en Gestor de E-Mail, Redirecciones de Correo. El correo de captura-todo se encuentra en Funciones Avanzadas, Correo electrónico de captura-todo; allí "desactivar captura-todo" es la opción recomendada (el correo dirigido a direcciones inexistentes se rechaza). Si solo tiene un nombre de dominio sin paquete de alojamiento, las redirecciones se encuentran en Mi WebOké, en Mis dominios, Redirecciones. Otros paneles (cPanel, Plesk, Microsoft 365, Google Workspace) tienen apartados similares, a veces bajo nombres como "pseudónimos", "redirección" o "grupos".

Resumen

Un pseudónimo o una redirección dentro del mismo servidor es seguro.
Redirigir hacia fuera rompe el SPF. SRS repara el SPF, pero no la alineación de DMARC; solo una firma DKIM intacta salva el correo, y ARC puede ayudar.
El spam redirigido perjudica la reputación de su servidor. Es preferible leer el correo externo mediante IMAP en la aplicación.
Un correo de captura-todo atrae spam, oculta errores de escritura y puede provocar backscatter. Use pseudónimos individuales.
Enviar desde un pseudónimo es posible, dentro de las reglas de su servidor.

Cuestionario

Ejercicio

Ejercicio O3.3: Inventario de sus direcciones. Elabore una lista de todas las direcciones de su dominio: buzones, pseudónimos, redirecciones y si hay un correo de captura-todo activado. Indique para cada redirección si permanece dentro de su propio dominio o sale hacia fuera (Gmail, Outlook.com, otra empresa). Después responda: ¿qué redirección externa puede sustituir por una cuenta IMAP en la aplicación, y hay algún correo de captura-todo activado que se pueda desactivar? Complete la lista de verificación.

Ejercicio O3.3: Inventario de sus direcciones

Este ejercicio lo hace usted mismo; nadie lo revisa. Marque lo que haya hecho y señale el ejercicio como realizado.

Sin catch-all, o un motivo deliberado anotado.
Cada redirección externa tiene un motivo, o se ha sustituido por IMAP en la aplicación.
El filtro antispam está activado antes de cualquier redirección externa.
Las direcciones desde las que envío (alias) están configuradas como identidad en mi programa.

¿Qué direcciones tiene (buzón, alias, redirección, catch-all) y adónde van?

¿Qué redirección externa sustituye por una cuenta IMAP en la aplicación? ¿Hay un catch-all activado, y se puede desactivar?

Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.

Para seguir leyendo

Los pasos de estos artículos se aplican a los paneles de WebOké; en otros proveedores el funcionamiento es similar.

Cookies en WebOké

Ajustes de cookies

Necesarias

Marketing