¿Qué es un secure email gateway (SEG)?
Un secure email gateway es una capa de filtrado que se sitúa delante del servidor de correo de una empresa e inspecciona cada mensaje antes de dejarlo pasar. Si ves SEG una y otra vez en los resultados de verificación y quieres saber qué es un secure email gateway en la práctica, es el puesto de control por el que pasa el correo entrante y saliente de una empresa, que busca amenazas y aplica políticas por el camino. El servidor de correo que hay detrás nunca ve un mensaje que el gateway decide bloquear.
SEG es solo la abreviatura
SEG significa secure email gateway, y en cuanto te fijes verás la sigla más a menudo que la expresión completa. Ambas se usan indistintamente. Cuando una herramienta de verificación marca una dirección como situada detrás de un SEG, o un informe de entregabilidad menciona el filtrado SEG, se refiere a la capa de filtrado descrita aquí. El término suena más técnico que la idea, que es un guardia apostado delante de la sala de correo.
Qué hace realmente el gateway
Un gateway existe para mantener fuera el correo malo y dentro el correo sensible. En la entrada busca spam, malware y phishing, y pone en cuarentena o rechaza todo lo que active una regla. En la salida aplica prevención de pérdida de datos y cumplimiento normativo, frenando los mensajes que filtrarían datos de clientes o infringirían una norma. Muchos también se encargan del cifrado y del archivado a largo plazo.
Una empresa adopta uno porque gestionar todo eso en el propio servidor de correo es más difícil y más fácil de hacer mal. El gateway centraliza las reglas en un único punto que todo mensaje tiene que cruzar.
Los gateways que más te vas a encontrar
Un puñado de proveedores domina este sector. Proofpoint, Mimecast, Barracuda y Cisco IronPort son los nombres que más verás en dominios empresariales, y detrás hay muchos más pequeños. En total detectamos 15 secure email gateways.
Se diferencian en funciones y precios, pero desde fuera se comportan igual. Cada uno se sitúa delante del sistema de correo real y decide qué le llega. Por eso la presencia de un proveedor concreto te dice que la empresa eligió ese producto, y poco más sobre las direcciones que hay detrás.
Un gateway no es el proveedor del buzón
Es fácil confundir el gateway con el sistema de correo de la empresa, pero son capas separadas. Una empresa puede tener sus buzones en Microsoft 365 o Google Workspace y aun así poner delante un gateway de otro proveedor. Así, una empresa aporta la capa de seguridad y otra aloja los buzones. Por eso un gateway en la ruta del correo no te dice qué proveedor aloja de verdad el buzón, y un producto de seguridad situado delante no revela nada del buzón que hay detrás. Las dos decisiones se toman por separado, a menudo por equipos distintos con presupuestos distintos.
Cómo cambia un gateway el camino de un correo
Normalmente un mensaje va directo al servidor de correo del dominio. Con un gateway, el dominio apunta su enrutamiento de correo al gateway, así que cada mensaje entrante llega allí primero. El gateway lo inspecciona y solo si lo supera lo reenvía al servidor real donde vive el buzón.
El destinatario no nota nada de esto. Para cualquiera que esté fuera, el gateway es el sistema de correo del dominio, porque es la única parte que responde. Algunos gateways van más allá y aplazan a propósito a los remitentes desconocidos, retienen un primer contacto y solo responden de verdad en un intento posterior.
Por qué los gateways interfieren con la verificación
La verificación depende de hacerle una pregunta directa al servidor de correo y leer una respuesta directa. Un gateway rompe esa cadena. Como responde en nombre del dominio, puede aceptar un mensaje, o retenerlo para inspeccionarlo, sin consultar nunca si el buzón que hay detrás existe.
Así que un verificador que pregunta por una dirección concreta puede recibir una respuesta de aceptación o ambigua que refleja la política del gateway, no el estado del buzón. El aplazamiento lo empeora, porque un primer intento retenido parece un resultado no concluyente aunque el buzón sea perfectamente real. A la comprobación estándar le responde la parte equivocada.
Un ejemplo concreto ayuda. Un verificador sondea una dirección en un dominio protegido por un gateway. El gateway, siguiendo sus propias reglas para remitentes desconocidos, acepta la sonda o la aplaza. En ambos casos el verificador registra una respuesta que vino del gateway, no del servidor que sabe si el buzón existe. No se probó nada del buzón real, y aun así la comprobación tiene una respuesta que informar.
Un gateway no dice nada sobre si el buzón es real
Esta es la parte que conviene recordar. La presencia de un gateway dice que una empresa se toma en serio la seguridad. No dice absolutamente nada sobre si una dirección concreta detrás de él pertenece a un buzón real y activo. Una dirección muerta y una viva pueden estar detrás del mismo gateway y parecer idénticas desde fuera, y justo por eso las direcciones protegidas por gateways acaban tan a menudo en el mismo montón sin resolver que los dominios catch-all.
Para quien hace marketing, importa por el alcance. En una lista B2B, una buena parte de tus mejores contactos, los de empresas más grandes y más atentas a la seguridad, está justo detrás de estos gateways. Descártalos todos y pierdes el extremo enterprise de tu lista. Envía a ciegas y los bloqueos recaen sobre tu reputación de remitente. Para una sola dirección puedes empezar por validar el correo; si tu lista está llena de ellas, así tratamos los correos protegidos por gateways SEG (en inglés).