¿Por qué comprobar la conectividad SMTP de tus MX?
Según datos de Google Transparency Report, más del 95 % del correo entrante en Gmail se transmite por TLS. Si tus servidores MX no soportan STARTTLS o tienen un certificado caducado, los proveedores con políticas MTA-STS strict rechazarán tus mensajes directamente.
La configuración DNS (SPF, DKIM, DMARC) no basta. Estos registros validan la identidad, pero no garantizan que el transporte funcione. Un MX inaccesible o un certificado inválido rompe la cadena de entrega.
Tres razones para comprobarlo regularmente:
- Entregabilidad: un MX inaccesible significa correos perdidos. Los remitentes reciben bounces "connection timeout" sin que tú lo sepas.
- Seguridad TLS: sin STARTTLS, tus correos viajan en texto plano por Internet. Las políticas MTA-STS y DANE exigen TLS válido para aceptar la entrega.
- Reputación: un open relay convierte tu servidor en una plataforma de spam. Tu IP puede aparecer en listas de bloqueo como Spamhaus en cuestión de horas.
Cómo utilizar el SMTP/MX Tester en 3 pasos
Paso 1: Introduce tu dominio
Escribe el nombre de dominio a comprobar (por ejemplo captaindns.com). La herramienta resuelve automáticamente los registros MX mediante DNS.
Paso 2: Espera el diagnóstico
Para cada servidor MX detectado, la herramienta:
- Se conecta en el puerto 25 (TCP)
- Captura el banner SMTP (código 220)
- Envía EHLO y lista las extensiones
- Comprueba STARTTLS e inspecciona el certificado TLS
- Realiza un test básico de open relay
Paso 3: Analiza los resultados
Cada servidor MX muestra un estado claro: accesible o no, STARTTLS soportado, certificado válido, open relay detectado o no. Los diagnósticos te guían hacia las acciones correctivas.
¿Qué es el protocolo SMTP?
SMTP (Simple Mail Transfer Protocol, RFC 5321) es el protocolo estándar para el transporte de correo entre servidores. Cuando alguien envía un correo a tu dominio, el servidor remitente:
- Resuelve los registros MX de tu dominio
- Se conecta al servidor MX con la prioridad más baja (preferido)
- Realiza un handshake SMTP (banner, EHLO, STARTTLS)
- Transmite el mensaje
Ejemplo de sesión SMTP:
Conexión TCP hacia mx1.captaindns.com:25
← 220 mx1.captaindns.com ESMTP Postfix
→ EHLO sender.example.com
← 250-STARTTLS
← 250-SIZE 52428800
← 250 8BITMIME
→ STARTTLS
← 220 Ready for TLS
[Handshake TLS 1.3]
→ MAIL FROM:<user@example.com>
→ RCPT TO:<contact@captaindns.com>
→ DATA
¿Qué analiza exactamente la herramienta?
| Elemento | Descripción | Resultado |
|---|---|---|
| Resolución MX | Consulta DNS para los registros MX del dominio | Lista de servidores con prioridad |
| Conexión TCP | Intento de conexión en el puerto 25 | Accesible / Inaccesible + tiempo de respuesta |
| Banner SMTP | Captura de la respuesta 220 inicial | Hostname, software MTA detectado |
| Extensiones EHLO | Lista de capacidades anunciadas por el servidor | STARTTLS, SIZE, PIPELINING, etc. |
| STARTTLS | Test de actualización a TLS | Versión TLS, suite criptográfica |
| Certificado TLS | Inspección del certificado del servidor | Sujeto, emisor, expiración, SAN, cadena |
| Open relay | Test MAIL FROM + RCPT TO externo | Relay rechazado (OK) o aceptado (peligro) |
Casos de uso concretos
Incidente 1: Correos que rebotan
Síntoma: Los remitentes reciben errores "connection timeout" o "host unreachable" cuando envían correo a tu dominio.
Diagnóstico: El SMTP/MX Tester muestra que el servidor MX secundario (mx2) es inaccesible: el puerto 25 está bloqueado por el firewall.
Acción: Abrir el puerto 25 entrante en el firewall del servidor mx2, o eliminar el registro MX si ya no está activo.
Incidente 2: Certificado TLS caducado
Síntoma: Los servidores con MTA-STS strict se niegan a entregar correos a tu dominio.
Diagnóstico: La herramienta detecta que el certificado expiró hace 5 días. El hostname del SAN no coincide con el MX.
Acción: Renovar el certificado TLS y verificar que el SAN incluya el hostname MX exacto.
Incidente 3: Open relay detectado
Síntoma: Tu IP aparece repentinamente en varias listas de bloqueo.
Diagnóstico: El test de open relay muestra que el servidor acepta reenviar correo hacia dominios externos sin autenticación.
Acción: Configurar el servidor SMTP para rechazar el relay no autenticado. Verificar las reglas de transporte y las restricciones de relay.
¿Has detectado un problema? Utiliza el Mail Tester para comprobar el impacto en la entregabilidad, o la verificación DNS de dominio para una auditoría completa de tu autenticación email.
❓ FAQ
P: ¿Por qué comprobar la conectividad SMTP si ya tengo SPF, DKIM y DMARC?
R: SPF, DKIM y DMARC validan la identidad del remitente, pero no comprueban que el transporte funcione. Este test verifica la capa real: puerto 25 abierto, TLS funcional, certificado válido. Sin estas comprobaciones, puedes tener registros DNS perfectos y aun así perder correos.
P: ¿Qué diferencia hay entre STARTTLS y TLS implícito?
R: STARTTLS (RFC 3207) actualiza una conexión SMTP en texto plano a cifrada TLS tras el handshake inicial. TLS implícito (puerto 465, RFC 8314) cifra desde el inicio. Para el tráfico MX servidor-a-servidor, el estándar es STARTTLS en el puerto 25.
P: ¿Cuánto tarda un servidor en ser bloqueado si es un open relay?
R: Cuestión de horas. Los spammers escanean Internet continuamente buscando relays abiertos. Una vez detectado, tu IP puede aparecer en Spamhaus, Barracuda y otras listas en menos de 24 horas, afectando toda la entrega de tu dominio.
P: ¿El banner SMTP puede ser un riesgo de seguridad?
R: Sí. Un banner que muestra la versión exacta del software (por ejemplo, "Postfix 3.5.6") facilita los ataques dirigidos. Se recomienda mostrar solo el hostname sin la versión del MTA.
P: Mi servidor MX es inaccesible, ¿por dónde empezar?
R: Verifica en este orden: 1) el registro MX apunta a una IP válida, 2) el puerto 25 está abierto en el firewall, 3) el servicio SMTP está en ejecución, 4) no hay bloqueo por parte del proveedor cloud (AWS, Azure y GCP bloquean el puerto 25 saliente por defecto).
P: ¿TLS 1.2 sigue siendo seguro o debo migrar a TLS 1.3?
R: TLS 1.2 sigue siendo seguro con las cipher suites correctas. TLS 1.3 aporta un handshake más rápido y elimina algoritmos obsoletos. La recomendación es soportar ambos: TLS 1.3 preferente y TLS 1.2 como fallback.
P: ¿Qué extensiones EHLO son esenciales?
R: STARTTLS (cifrado obligatorio hoy), SIZE (tamaño máximo aceptado), 8BITMIME (codificación moderna). PIPELINING mejora el rendimiento y SMTPUTF8 permite direcciones internacionalizadas. Un servidor sin STARTTLS se considera obsoleto.
Herramientas complementarias
| Herramienta | Utilidad |
|---|---|
| MTA-STS Record Check | Verifica la política MTA-STS que impone TLS para el transporte |
| TLS-RPT Record Check | Configura los informes TLS para supervisar los fallos de conexión |
| Verificación DNS de dominio | Auditoría completa SPF, DKIM, DMARC, MTA-STS, BIMI |
| Lista de bloqueo de dominio | Comprueba si tu dominio está en una lista de bloqueo |
| Mail Tester | Comprueba la entregabilidad completa de tus correos |
Recursos útiles
- RFC 5321 (SMTP) : especificación del protocolo SMTP
- RFC 3207 (STARTTLS) : extensión SMTP para TLS
- RFC 8461 (MTA-STS) : transporte estricto TLS para SMTP
- RFC 7672 (DANE) : autenticación SMTP basada en DNSSEC
Compromiso de privacidad
No se almacena ningún dato de conexión SMTP. Los resultados no se registran y no se envía ningún correo durante el test. El test de open relay utiliza un comando RCPT TO sin enviar mensaje (sin DATA).