En resumen
Un servidor cPanel seguro protege el correo en cinco capas: autenticación del dominio (SPF, DKIM y DMARC), filtrado del correo entrante, acceso a las cuentas (contraseñas, cPHulk y TLS), control del envío (límites de Exim) y monitoreo (logs, colas y reputación). Casi todos los incidentes empiezan con un correo de phishing que roba una contraseña, así que el filtrado entrante y el control del envío son las dos capas que más problemas evitan.
Las cinco capas de seguridad del correo
Ninguna herramienta resuelve sola la seguridad del correo. Cada capa cubre un riesgo distinto, y una falla en cualquiera termina en lo mismo: spam saliente, la IP del servidor en listas negras y clientes con correos rebotados.
| Capa | Qué evita | Dónde se configura |
|---|---|---|
| Autenticación del dominio | Que otros envíen correo con tu dominio y que tus correos lleguen a spam | cPanel › Correo › Entregabilidad del correo |
| Filtrado entrante | Phishing, fraude BEC, spam y malware en los buzones | WHM › Exim Configuration Manager, SpamAssassin o un filtro como Clisec |
| Acceso a las cuentas | Contraseñas adivinadas por fuerza bruta | WHM › Security Center › cPHulk y configuración del servidor de correo |
| Control del envío | Que una cuenta comprometida envíe miles de correos | WHM › Server Configuration › Tweak Settings |
| Monitoreo | Enterarte del problema por los clientes, días después | Logs de Exim y Dovecot, cola de correo y Postmaster Tools |
Lista de revisión en 15 minutos
Si administras un servidor cPanel y nunca revisaste su correo, empieza por aquí. Cada punto enlaza a la guía que lo explica en detalle.
- Hostname y PTR. El hostname del servidor resuelve a su IP y la IP tiene un registro PTR con ese mismo nombre. Detalles en registros PTR, A y MX.
- SPF, DKIM y DMARC válidos en cada dominio: revisa cPanel › Correo › Entregabilidad del correo o, para todos los dominios, la misma herramienta en WHM. Guía: configurar SPF, DKIM y DMARC.
- cPHulk activado en WHM › Security Center › cPHulk Brute Force Protection, con tu propia IP en la lista blanca.
- Autenticación en texto plano desactivada en WHM › Service Configuration › Mailserver Configuration (Allow Plaintext Authentication: No).
- Límite de envío por hora fijado en WHM › Server Configuration › Tweak Settings (Max hourly emails per domain).
- SpamAssassin activo y, si tienes clientes empresa, un filtro que detecte phishing dirigido.
- IP fuera de listas negras: consúltala en check.spamhaus.org. Si aparece, sigue esta guía.
- Cola de correo normal:
exim -bpcdebería mostrar pocas decenas de mensajes, no miles.
Capa 1: filtrar el correo entrante
El filtrado entrante decide qué llega a los buzones. cPanel trae varias herramientas que conviene activar antes de pensar en otras:
- Listas de bloqueo (RBL) en Exim. En WHM › Service Configuration › Exim Configuration Manager › Basic Editor › ACL Options puedes rechazar conexiones de IPs listadas en Spamhaus ZEN o SpamCop. Ten en cuenta que el uso gratuito de Spamhaus por DNS público tiene límites de volumen; un hosting con mucho tráfico necesita su servicio de datos (DQS).
- Rechazar fallas de SPF. En la misma sección, la opción "Reject SPF failures" rechaza correos de dominios cuyo SPF dice explícitamente que no los envió tu remitente.
- Greylisting. En WHM › Email › Greylisting se retrasa la primera entrega de remitentes desconocidos. Frena muchos bots, pero agrega minutos de espera a correos legítimos nuevos.
- SpamAssassin. Puntúa cada mensaje y lo marca como spam sobre un umbral. Cómo ajustarlo: configurar SpamAssassin en cPanel.
Estas herramientas están pensadas para spam masivo. El phishing dirigido y el fraude BEC llegan en pocos correos, bien escritos y desde dominios sin mala reputación, así que pasan casi siempre. Lo explicamos en por qué SpamAssassin no detecta el phishing dirigido.
Capa 2: proteger el acceso a las cuentas
Un atacante que adivina la contraseña de un buzón puede leer el correo de esa persona, crear reglas de reenvío y usar la cuenta para enviar spam desde tu servidor. Las defensas básicas:
- cPHulk bloquea IPs y usuarios con demasiados intentos fallidos de inicio de sesión en cPanel, webmail, IMAP, POP3 y SMTP.
- Contraseñas fuertes obligatorias en WHM › Security Center › Password Strength Configuration. Un valor de 70 o más evita las contraseñas más comunes.
- Solo conexiones cifradas: desactiva la autenticación en texto plano para que nadie envíe contraseñas sin TLS por los puertos 110 o 143.
- Autenticación en dos pasos para cPanel y WHM en WHM › Security Center › Two-Factor Authentication. No aplica a IMAP o SMTP, pero protege el acceso al panel.
Los ataques actuales prueban pocas contraseñas en muchas cuentas a la vez, justamente para no activar los bloqueos. Cómo detectarlos: fuerza bruta y password spraying contra el correo.
Capa 3: controlar el envío
Ninguna protección de acceso es perfecta, así que el servidor tiene que limitar el daño cuando una cuenta cae. En WHM › Server Configuration › Tweak Settings, pestaña Mail:
| Opción | Qué hace | Valor de partida |
|---|---|---|
| Max hourly emails per domain | Tope de correos por hora para cada dominio | 200 a 500 en hosting compartido |
| Maximum percentage of failed or deferred messages a domain may send per hour | Bloquea el envío de un dominio con demasiados rebotes, típico de una lista comprada o de spam | 25 % |
| Prevent "nobody" from sending mail | Impide que scripts PHP envíen como el usuario del servidor web | Activado |
| Track email origin via X-Source email headers | Agrega encabezados que muestran qué script o cuenta envió el correo | Activado |
Activa también WHM › Security Center › SMTP Restrictions, que obliga a que solo Exim y los usuarios autorizados abran conexiones al puerto 25. Así un script malicioso no puede saltarse los límites hablando directo con otros servidores.
Si ya tienes un problema activo, sigue cuenta de correo comprometida: cómo detectarla y detener el spam.
Capa 4: autenticar los dominios
SPF, DKIM y DMARC le dicen a Gmail, Outlook y al resto qué servidores pueden enviar correo con cada dominio. Sin ellos, los correos de tus clientes terminan en spam y cualquiera puede suplantar sus dominios. Desde 2024 Gmail y Yahoo, y desde 2025 Microsoft, exigen estos registros a quienes envían volumen.
La herramienta Entregabilidad del correo de cPanel revisa y repara SPF y DKIM en un clic si el DNS está en el mismo servidor. DMARC hay que agregarlo a mano. Paso a paso en configurar SPF, DKIM y DMARC en cPanel y, si los correos ya llegan a spam, en por qué mis correos llegan a spam.
Capa 5: monitorear
La mayoría de los incidentes de correo se detectan tarde, cuando un cliente reclama. Unos pocos comandos y herramientas permiten verlos en minutos:
# Cantidad de mensajes en la cola (normal: decenas)
exim -bpc
# Cuentas que más correo enviaron hoy (autenticadas por SMTP)
grep "A=dovecot_login" /var/log/exim_mainlog | grep -o "A=dovecot_login:[^ ]*" | sort | uniq -c | sort -rn | head
# IPs con más inicios de sesión fallidos en IMAP/POP3
grep "auth failed" /var/log/maillog | grep -o "rip=[0-9a-f.:]*" | sort | uniq -c | sort -rn | head- WHM › Email › Mail Queue Manager y View Sent Summary muestran la cola y quién envía más.
- cPanel › Correo › Track Delivery permite seguir un mensaje concreto y ver por qué rebotó.
- [Google Postmaster Tools](https://postmaster.google.com) y Microsoft SNDS muestran cómo ven Gmail y Outlook la reputación de tus dominios e IPs.
Obligaciones en Chile y en Europa
Un buzón comprometido suele exponer datos personales: correos de clientes, documentos y contraseñas. Eso puede activar obligaciones legales de notificación. Resumen orientativo, que no reemplaza una asesoría legal:
| Norma | Dónde | Qué exige |
|---|---|---|
| Ley 21.663, Marco de Ciberseguridad | Chile | Creó la Agencia Nacional de Ciberseguridad (ANCI). Las instituciones calificadas como servicios esenciales u operadores de importancia vital deben reportar sus incidentes al CSIRT Nacional. |
| Ley 21.719 de protección de datos personales | Chile | Entra en plena vigencia en diciembre de 2026 y obliga a informar las vulneraciones de seguridad a la nueva Agencia de Protección de Datos Personales. |
| RGPD, artículo 33 | Unión Europea | Notificar a la autoridad de control (en España, la AEPD) en un máximo de 72 horas desde que se conoce una brecha de datos personales con riesgo para las personas. |
| Directiva NIS2 | Unión Europea | Los proveedores de centros de datos, nube y otros servicios digitales cubiertos deben enviar un aviso temprano en 24 horas y una notificación en 72 horas ante un incidente significativo. |
En la práctica, esto significa guardar los logs de correo el tiempo suficiente, tener un procedimiento escrito para cuentas comprometidas y poder demostrar qué medidas de filtrado y control había.
Preguntas frecuentes
¿Qué es lo primero que debo revisar en un servidor cPanel nuevo?
El hostname y su PTR, los registros SPF y DKIM en Entregabilidad del correo, que cPHulk esté activo y que exista un límite de correos por hora en Tweak Settings. Con eso evitas la mayoría de los problemas de entrega y de spam saliente.
¿SpamAssassin es suficiente para proteger el correo?
Para spam masivo, en servidores pequeños, puede bastar. No está diseñado para phishing dirigido ni fraude BEC, que son los ataques que más daño causan a empresas.
¿Hay que cambiar los registros MX para filtrar el correo?
Con los gateways en la nube, sí. Las herramientas de cPanel y Clisec filtran en el propio servidor, sin tocar los MX de ningún dominio.
¿Cada cuánto conviene revisar la seguridad del correo?
La lista de revisión rápida, una vez al mes. La cola de correo y los intentos fallidos de inicio de sesión, idealmente con una alerta automática diaria.
Protege el correo entrante de todo tu servidor
Clisec filtra el correo entrante de todas las cuentas de tu servidor cPanel y detecta el phishing que roba contraseñas, sin cambiar registros MX.