Monta un servidor de correo que llega a la bandeja de entrada

Postfix no es el problema. Lleva entregando correo de forma competente desde 1998 y hará exactamente lo que le configures para hacer. El problema es que SMTP no le concede ninguna credibilidad a nadie por defecto, así que una pasarela receptora tiene que decidir si cree a un servidor desconocido — y toma esa decisión en un orden fijo, en su mayor parte antes de que tu mensaje sea examinado siquiera:

• La IP que se conecta, lo primero y lo más duro. Antes de que tu servidor haya dicho nada más allá de EHLO, la pasarela ya ha buscado la dirección en listas de bloqueo públicas (Spamhaus SBL, XBL, PBL y CSS, Barracuda, SpamCop) y en su propio almacén privado de reputación, que también vigila el /24 circundante y el ASN. Una dirección listada se rechaza en el momento de la conexión, con un rechazo que puede que nunca veas si nadie está leyendo los registros.
• El nombre que reclama esa dirección. Un PTR ausente hace que varios proveedores grandes rechacen la conexión directamente. Un PTR genérico asignado por el proveedor, del tipo ip-203-0-113-10.example-host.net, es peor de lo que parece — es la firma exacta de las líneas de consumo y las máquinas sin vigilar, que es donde viven las botnets.
• Autenticación. SPF, DKIM y después DMARC, evaluados en ese orden y combinados por la regla de alineación de la siguiente sección. Aquí es donde una configuración que parece correcta sobre el papel suele fallar.
• Solo entonces, el mensaje. Heurísticas de contenido, higiene de las listas, la tasa de quejas que generas, y cómo se comportan los destinatarios en las semanas siguientes.

Tres de esos cuatro se deciden antes de que se puntúe un solo byte de tu contenido, lo cual replantea todo el ejercicio: no estás escribiendo mejores correos, estás construyendo una credencial. Los dos mayores receptores han puesto por escrito el mínimo, así que no hay que adivinar dónde está el suelo. Todo remitente necesita SPF o DKIM, DNS directo y inverso válidos, TLS en la conexión, y una tasa de quejas por spam por debajo del 0.3%; cualquier cosa que envíe en volumen necesita SPF y DKIM y un registro DMARC con alineación, además de baja con un clic. Trata eso como el precio de entrada, no como la meta.

Cada registro responde a una pregunta distinta, y la forma útil de tenerlos en la cabeza es pensar en qué tendría que controlar un falsificador para fingirlo.

• PTR — quien posee la dirección está de acuerdo contigo. La zona inversa de una IP se delega a quien tenga la asignación, por lo que este es el único registro que no puedes añadir en tu registrador. Un PTR que apunta a mail.example.com, más un registro A para mail.example.com que apunta de vuelta a la misma IP, es FCrDNS — DNS inverso confirmado hacia delante. Demuestra que el propietario de la dirección y el propietario del dominio son la misma parte, o al menos que se hablan.
• SPF — este servidor tenía permiso para enviar por este sobre. Un registro TXT que enumera los hosts autorizados a enviar por un dominio. La trampa está en el alcance: SPF autentica al remitente del sobre (el MAIL FROM, que se convierte en Return-Path) y el nombre HELO. No dice absolutamente nada sobre la cabecera From: que tu destinatario realmente lee, por lo que SPF por sí solo nunca ha impedido que nadie te suplante.
• DKIM — este mensaje lo firmó un dominio y no se ha alterado. Tu servidor firma determinadas cabeceras y el cuerpo con una clave privada; la mitad pública se aloja en el DNS, en <selector>._domainkey.<domain>. A diferencia de SPF, sobrevive al reenvío, porque la prueba viaja dentro del mensaje en lugar de depender de qué IP lo entregó.
• DMARC — y este es el que todo el mundo hace mal. DMARC no se limita a exigir que SPF o DKIM hayan pasado. Exige que un mecanismo que pasa esté alineado con el dominio de la cabecera From: visible. La alineación relajada acepta un dominio organizativo coincidente (así que mail.example.com se alinea con example.com); la alineación estricta exige una coincidencia exacta.

Esa regla de alineación merece mencionarse aparte, porque produce el hilo de soporte más exasperante que existe en el correo autoalojado: un mensaje puede pasar SPF, pasar DKIM, y aun así fallar DMARC — cuando ambos pasaron para un dominio que no es el de From:. Ocurre en el momento en que el correo sale a través de un relay que reescribe el sobre, o cuando un paquete todo-en-uno firma con su propio nombre de host en lugar de tu dominio. Todo se ve en verde en tus registros y el mensaje sigue en cuarentena. Lee la alineación, no el resultado de aprobado.

Menos hardware del que imaginarías, y más compromiso del que te gustaría.

• Un dominio que pienses conservar. La reputación se pega al dominio con la misma firmeza que a la dirección, y se acumula durante meses. No merece la pena calentar un dominio que podrías abandonar el año que viene.
• Un plan modesto, dimensionado para el filtrado y no para el correo en sí. Entregar mensajes cuesta casi nada; filtrar spam e indexar cuesta RAM. Cub (1 vCPU / 2 GB / 40 GB NVMe, $5.00/mo) hace correr Postfix, Dovecot y Rspamd para un dominio y un puñado de buzones sin quejarse. Scout (2 vCPU / 4 GB / 70 GB, $9.00/mo) es el suelo honesto para un paquete en contenedores que además quiera ClamAV y un índice de búsqueda. El disco es lo que crece, así que dimensiónalo para el archivo y no para hoy.
• Una IPv4 dedicada sin historial, y un IPv6 /64 enrutado. Todos los planes incluyen ambas cosas. Este es el componente que no puedes arreglar más adelante con configuración, y la razón por la que las direcciones recicladas de nubes económicas son una falsa economía para el correo.
• Puerto saliente 25. Abierto en todos los planes, sin ningún ticket de desbloqueo que presentar. La política de uso aceptable prohíbe el correo masivo no solicitado y los relays abiertos, que es precisamente lo que mantiene los rangos entregables para todos los que envían de forma legítima.
• Debian 13 de la biblioteca de plantillas, y una jurisdicción elegida a propósito. El correo no es sensible a la latencia, así que elige la ubicación por dónde debe residir legalmente el buzón, no por unos pocos milisegundos.

Hay tres formas, y elegir la equivocada es cómo se esfuman los fines de semana.

• Montada a mano. Postfix como MTA, Dovecot para IMAP y autenticación, Rspamd para filtrado y firma DKIM. Puede que doscientas líneas de configuración en total, todas las cuales puedes leer y ninguna de las cuales está oculta. El máximo control, la mayor comprensión requerida, y la versión que asume esta guía.
• Un paquete todo-en-uno. mailcow tiene todas las funciones y está basado en contenedores, y de verdad necesita 4 GB antes de sentirse cómodo. Mail-in-a-Box tiene sus propias ideas fijas y resulta agradable si aceptas sus decisiones tal cual. Stalwart es un único binario que cubre SMTP, IMAP, JMAP y filtrado en un solo proceso, y es, con diferencia, el más ligero de los tres. Los tres se instalan en una hora; ninguno te va a configurar el DNS.
• Un relay que tú no ejecutas. Si el requisito es “mi aplicación debe enviar restablecimientos de contraseña” y nunca va a haber un buzón, un MTA es la forma completamente equivocada. Configura un smarthost y dedica la tarde a otra cosa.

La pila no decide tu entregabilidad. Decide cuánto te cuesta de tu sábado. Todo lo que determina si tu correo llega ocurre en el DNS y en la reputación de una dirección — que es exactamente el tema de la siguiente sección.

Una dirección sin reputación no empieza neutral. El pronóstico de una pasarela para una IP de centro de datos desconocida que de repente ha empezado a enviar es más bien “probablemente no deseada”, porque eso es lo que resulta ser la inmensa mayoría de esas direcciones. El calentamiento es el proceso de sustituir ese pronóstico por evidencia, y no se puede acelerar por ningún medio técnico.

• Empieza pequeño y sube despacio. Decenas de mensajes al día en la primera semana, duplicando aproximadamente cada pocos días, hasta alcanzar el volumen normal en dos a cuatro semanas. Un remitente que pasa de cero a mil de la noche a la mañana es indistinguible de un host comprometido, y se le trata como tal.
• La interacción pesa más que el volumen. Los mensajes que personas reales abren, responden y sacan de la carpeta de spam valen mucho más que el volumen de envío. Envía primero a los destinatarios con más probabilidades de interactuar — tú mismo, colegas, corresponsales que ya te conocen.
• Sé constante. Doscientos mensajes un día y nada durante tres semanas nunca construye un perfil estable. Un goteo constante gana a una ráfaga irregular con el mismo total mensual.
• Mantén las quejas bajo control. El umbral publicado es del 0.3%, y por encima de él poco más de lo que hagas importa. Por debajo del 0.1% es donde quieres estar.
• No mezcles flujos. Tener boletines y restablecimientos de contraseña en una misma dirección significa que una tasa de quejas de marketing puede arrastrar la recuperación de tu cuenta a la carpeta de spam. Si merece la pena separarlos, una segunda IPv4 dedicada y limpia cuesta $2.00/mo con su propio rDNS.

La configuración es reproducible en una hora. La reputación tarda meses y se puede destruir en una sola noche con un formulario de contacto comprometido. Trata la dirección como lo que de verdad estás protegiendo.

• Vigila en lugar de reaccionar. Revisa las listas principales según un calendario, en vez de después de una queja — nuestro repaso de cómo comprobar si una IP está en una lista negra cubre qué listas tienen peso, cómo leer una entrada y cómo funciona realmente la exclusión.
• Limita la tasa de tu propio tráfico saliente. Un límite en el MTA es lo único que se interpone entre un script comprometido y diez mil mensajes saliendo antes de que te despiertes. Este único ajuste ha salvado más direcciones que cualquier filtro.
• Retira los rebotes duros de inmediato. Entregar repetidamente a direcciones muertas es una señal de trampa de spam, y las trampas de spam recicladas son exactamente la forma en que los remitentes legítimos acaban listados.
• Lee postmaster@ y abuse@. Es obligatorio que existan, y ahí es donde te enteras de un problema antes que una lista de bloqueo. Los dos grandes receptores también publican paneles de reputación gratuitos para los dominios que has verificado; te dirán cosas que ninguna lista pública dirá jamás.
• No pelees una pelea que heredaste. Si resulta que la dirección carga con una entrada anterior a ti, o está bloqueada en algún sitio que importa comercialmente, pide un cambio en el panel de cliente en lugar de pasarte tres semanas en colas de exclusión por el historial de otro.

Por qué la dirección llegó limpia en primer lugar es la otra mitad de esto. Las nubes económicas de alta rotación reciclan la IPv4 entre cantidades enormes de clientes de vida corta, así que una dirección “nueva” suele llegar ya usada en todos los sentidos que le importan a una pasarela. Todos los planes aquí incluyen una dirección dedicada y verificada en lugar de una porción de un grupo compartido — qué significa en realidad una IP limpia explica la definición y cómo comprobarlo tú mismo antes de confiar en ella.

El balance honesto, porque una guía que solo enumera las ventajas es publicidad.

• No hace privado tu correo. SMTP cifra salto a salto y de forma oportunista; el proveedor receptor descifra y lee todo lo que envías a sus usuarios, exactamente igual que antes. Si el objetivo es la confidencialidad del contenido, eso es cifrado de extremo a extremo, no un servidor que tú poseas.
• No oculta los metadatos. Quién, a quién, cuándo, con qué frecuencia y la línea de asunto atraviesan la red intactos — y ahora tu propio servidor también los registra, en una máquina de la que eres responsable.
• No te libra de los grandes receptores. Sigues pidiéndoles a dos empresas que acepten tu correo, y ellas siguen fijando las condiciones unilateralmente. Autoalojar mueve el punto de control; no lo elimina.
• No funciona solo. Los certificados se renuevan, las claves conviene rotarlas, los discos se llenan, y un servidor de correo que deja de aceptar correo en silencio pierde mensajes que los remitentes no van a reintentar para siempre. Es un servicio con una dimensión de guardia, por pequeña que sea.
• No hace anónima la máquina. Un servidor de correo es posiblemente lo más autoidentificable que puedes ejecutar, porque publicar tu dominio en el DNS y responder por él es todo el mecanismo. Un registro sin KYC limita lo que tu proveedor sabe de ti; no cambia nada sobre lo que puede ver un destinatario. Explicamos bien esa distinción en ¿es anónimo un VPS pagado con criptomonedas?, y merece la pena dedicarle diez minutos antes de asumir lo contrario.

Una vez que los registros están bien y la dirección está caliente, todo lo que queda tiene que ver con dónde vive el buzón y quién sabe que es tuyo.

La jurisdicción decide quién puede obligar a revelar información. Un servidor de correo es un archivo de correspondencia consultable, lo que convierte la ubicación en una decisión más trascendente aquí que para casi cualquier otro servicio. Nuestra presencia abarca ocho ubicaciones en los Países Bajos, Francia, Rumanía, Bulgaria, Suecia, Islandia, Suiza y Malasia, y ningún aviso de retirada al estilo estadounidense tiene fuerza en ninguna de ellas. Eso es política operativa dicha con claridad, no inmunidad legal — una orden vinculante de un tribunal local competente se sigue aplicando, y hay un suelo innegociable frente al abuso que no movemos. El hosting offshore explica la diferencia sin el marketing.

La cuenta es la parte que la gente se salta. El registro solo pide un correo electrónico para la entrega de credenciales y nada más — sin identificación, sin tarjeta, sin dirección postal, sin número de teléfono. No hay ningún documento de verificación que entregar más adelante porque nunca se recogió ninguno; qué significa el alojamiento no-KYC cubre los límites de eso con honestidad.

Y el pago. Una tarjeta vincula un servidor a un registro bancario y a un nombre legal guardado en una base de datos que ninguno de los dos controla. El pago aquí se liquida on-chain, con Monero tratado como una opción de primera clase y no como una ocurrencia tardía: pagar un VPS con XMR recorre todo el proceso, y comprar sin tarjeta de crédito cubre cómo llegar hasta ahí partiendo de cero cripto. El despliegue tarda unos sesenta segundos tras la confirmación.

Lo cual importa más aquí que para una máquina desechable. Un servidor de correo es un compromiso largo con un dominio y una dirección — la reputación que estás a punto de pasar un mes construyendo no es portátil. Decide la jurisdicción, la cuenta y el pago antes del calentamiento, no después.