07 Aug 20265 minutos de lectura
Waseem OsmanEspecialista en DMARCEl panorama de los MTA está cambiando: por qué los dueños de dominio deberían prestar atención
Es muy probable que tu empresa envíe mensajes a través de un proveedor de servicios de correo electrónico (ESP). ¿Sabes qué software maneja realmente esos correos, y si cumple los estándares de seguridad de tu organización o se mantiene al día con los cambios del ecosistema del email?
La mayoría de los CISO y administradores de TI no pueden responder esa pregunta. No porque hayan sido descuidados, sino porque nadie les pidió pensarlo. Usar un ESP siempre se ha planteado como una decisión de externalización: ceder el envío, obtener entregabilidad y escala a cambio. Lo que corre por debajo históricamente no ha sido preocupación del dueño del dominio.
Ante una serie de adquisiciones, nuevos actores que entran al mercado y amenazas en evolución, los dueños de dominio deberían prestar más atención ahora.
La capa oculta de tu stack de email
Todos los ESP dependen de un agente de transferencia de correo (MTA), el software que pone en cola, enruta y entrega los emails salientes. Se ejecuta por completo del lado del ESP, invisible para el dueño del dominio.
La elección de MTA de tu ESP puede afectar:
- Entregabilidad. La capa MTA puede afectar en silencio si tus comunicaciones críticas, avisos de facturación, alertas de seguridad y actualizaciones a clientes se entregan a tiempo y a la bandeja de entrada.
- Respuesta a incidentes. Cuando algo falla, eso implica investigar problemas de DNS, gestión de colas, rechazos de ISP e IP problemáticas. Cada transición de MTA sigue el mismo patrón: el equipo responsable tiene que aprender nueva tecnología, construir el monitoreo adecuado y pasar de mantener un sistema conocido a implementar uno desconocido.
- Seguridad. Un MTA también es un punto de control de seguridad: cifrado TLS depende de cómo esté configurado, y la firma DKIM también ocurre en esta capa. Cómo tu ESP configura su MTA afecta tu propia exposición.
- Adaptabilidad. La autenticación de email sigue evolucionando, desde los cambios introducidos en DMARCbis hasta el emergente estándar DKIM2. Mantenerse al día requiere la atención especializada que a menudo se consume en esfuerzos de integración y en minimizar costos operativos.
Qué ha cambiado en el mercado de MTA
El mercado de software MTA empresarial ha pasado por expansión y consolidación en los últimos 10 años. Hoy, los ESP tienen más opciones que nunca, lo que debería traducirse en más cambios de MTA que antes.
Message Systems, la compañía detrás de Momentum, adquirió Port25 Solutions, su mayor rival on-premises y la empresa detrás de PowerMTA, en 2015. Message Systems luego creó SparkPost, mientras Momentum y PowerMTA siguieron publicándose con sus nombres existentes. MessageBird adquirió SparkPost en 2021 por aproximadamente $600 millones, y MessageBird se rebautizó como Bird en 2024.
Más recientemente, Infobip anunció la adquisición de SocketLabs, un ESP establecido que creó y mantiene su Hurricane MTA, que también impulsan otros ESP. Este movimiento debería ampliar la oferta para una audiencia más global.
La consolidación no es toda la historia. Mientras algunos MTA se compran y venden, otros están entrando al mercado: Laneful, SignalMTA y Anypost se han lanzado recientemente. Mientras tanto, proveedores establecidos como GreenArrow, Halon y MailerQ siguen siendo actores importantes en el espacio.
Ya sea por nuevos entrantes o por cambios de propiedad, el cambio es la constante – y vale la pena estar atento.
La disrupción del código abierto
La otra fuerza que está remodelando este mercado es la infraestructura de código abierto, liderada por KumoMTA. Publicado bajo la licencia Apache 2.0, KumoMTA es gratuito de operar, con ingresos provenientes de niveles de soporte de pago en lugar del volumen de envío.
Fue construido por un equipo de antiguos ingenieros de Message Systems, y ya tiene adopción real: AWeber, Active Campaign y Postmark han migrado su infraestructura de envío a él.
Ese modelo socava cómo los MTA comerciales heredados, incluidos PowerMTA y Momentum, han cobrado su software durante años. Con una alternativa genuinamente gratuita sobre la mesa, los proveedores comerciales quedan justificando una tarifa, y el mercado probablemente se dirige a una corrección para seguir siendo competitivo.
El mercado de MTA se mueve más rápido que en años, y es probable que siga madurando. Los proveedores se fusionan, se rebautizan y cambian la infraestructura subyacente – a veces más de una vez en poco tiempo.
Más opciones y más competencia entre proveedores de MTA es bueno para el mercado. Impulsa la innovación y mantiene los precios honestos. Pero también significa que los dueños de dominio ya no pueden asumir que la infraestructura detrás de su ESP hoy es la misma que hace un año – ni que seguirá igual dentro de un año. Saber qué infraestructura eligió tu ESP, y estar alerta cuando eso cambie, se está convirtiendo en parte del trabajo.
La implicación de seguridad
El MTA es lo que realmente envía tu email, y ahí es donde más importan tres cosas: capacidades de firma DKIM, soporte de configuración para alineación y cifrado TLS.
En el caso de DKIM, una longitud de clave de 2048 bits es el estándar actual. ¿Cómo averiguas qué longitudes de clave usas? Los datos DMARC son la forma más fácil y completa de identificar claves débiles en rotación.
Alinear tanto SPF como DKIM es crítico para la seguridad del email, ya que son la base de DMARC, la tecnología líder para defenderse del phishing y el abuso de dominio. Aunque DMARC solo requiere DKIM o SPF, la mejor práctica es configurar ambos.
El cifrado TLS garantiza que los mensajes enviados en tu nombre estén protegidos de ser interceptados y modificados antes de llegar al destinatario previsto. Aunque la aplicación de TLS ocurre en el extremo receptor, es importante que todos los remitentes legítimos ayuden a crecer la adopción, para que puedan realizarse cambios más agresivos a los estándares y mejores prácticas.
¿No estás seguro de dónde está tu propio dominio en todo esto? Tus datos DMARC ya tienen la respuesta.
Preguntas para hacerle a tu ESP
Esto no es un argumento para cambiar de proveedor o auditar cada relación con proveedores desde cero. Es un argumento para cerrar un punto ciego que la mayoría de los equipos de seguridad no sabía que tenía.
Tres preguntas son un punto de partida razonable:
- ¿Qué software MTA impulsa actualmente nuestro envío saliente?
- Si ha cambiado, ¿se nos informó del cambio y cuándo?
- Si tu infraestructura cambia, ¿cuál es tu proceso de notificación?
Ninguna de estas preguntas asume mala fe por parte del ESP. Asumen, correctamente, que las decisiones de infraestructura tomadas aguas arriba ahora tienen consecuencias para el dueño del dominio aguas abajo – y que vale la pena saber más sobre una capa que nunca había exigido atención antes.
La capa MTA solía ser segura de ignorar, cuando el mercado debajo apenas cambiaba. Dada cuánta consolidación y cambio hay ahora, eso ya no es cierto.
Antes de llevar estas preguntas a tu ESP, comprueba dónde está realmente la política y la configuración DMARC de tu propio dominio.
Comprueba tu dominio
Si corres riesgo de suplantación de identidad, uno de nuestros expertos se pondrá en contacto para ayudarte.
