La ruta del correo y sus puntos de control

El correo viaja por SMTP entre servidores. Quien envía busca en el DNS los registros MX del dominio destino: cada uno nombra un servidor que acepta correo para ese dominio y lleva una prioridad; el número más bajo se intenta primero. Entre el emisor y el buzón puede haber varios saltos, y cada uno agrega una línea de rastro al mensaje.

Muchas empresas ponen delante una pasarela de correo: un servidor de correo cuyo único trabajo es recibir lo que llega de Internet, someterlo a controles (reputación del remitente, autenticación del dominio, antivirus, análisis de adjuntos y de enlaces) y solo entonces reenviarlo al servidor donde viven los buzones. Su nombre es el que se publica como MX.

Que la pasarela tenga la prioridad más baja no obliga a nadie a usarla: un emisor puede conectarse directamente a cualquier MX publicado, aunque su prioridad sea alta. Todo MX que no sea la pasarela y acepte correo del exterior es una puerta lateral sin los controles.

Consulta registros_mx y mira el rol de cada host.

El registro de recepción dice qué sistema aceptó cada mensaje. La columna via_pasarela resume si antes de llegar al sistema que lo aceptó pasó por la pasarela. Cuenta lo que no pasó: es la medida de la puerta lateral, no una opinión.

Una lista de controles con el estado de cada uno es la primera evidencia de una revisión. Los estados distintos de «activo» merecen pregunta: no siempre es un fallo (puede estar probándose), pero siempre necesita dueño y fecha.

Consulta puntos_de_control. Hay estados «apagado» y «sin configurar»: aquí interesa el que está apagado.

Cerrar el hueco exige que el servidor interno solo acepte correo de las pasarelas. Cambiar la prioridad de un MX no lo impide, porque la prioridad es una sugerencia para quien envía de buena fe, no una regla de acceso. Y quitar controles de la pasarela no reduce el riesgo: lo aumenta.