Tu servidor de correo es un open relay

Qué significa

Un servidor de correo tiene dos tareas normales: aceptar emails para tus propios dominios y enviar emails para tus propios usuarios después de que inicien sesión. Un open relay hace una tercera cosa: acepta emails de cualquiera, para cualquiera, y los reenvía. Los spammers escanean internet constantemente en busca de estos servidores y los usan para enviar enormes volúmenes en tu nombre.

Por qué importa

• Tu IP entra rápidamente en blacklists y, a partir de ahí, incluso tus emails normales son rechazados.
• Tu empresa de hosting puede suspender el servidor por abuso.
• Unos desconocidos usan los recursos y el ancho de banda de tu servidor.

Cómo comprobarlo

• Mira tu cola de correo. Una cola grande llena de emails que no has enviado es una señal clara. En Postfix: mailq.
• Lee /var/log/mail.log en busca de remitentes desconocidos que envían a muchas direcciones externas.
• Comprueba tu IP en /blacklists.
• Haz la prueba desde otra máquina fuera de tu red. Conéctate con telnet mail.yourdomain.com 25 y escribe:

  HELO test.example.com
  MAIL FROM:<someone@example.com>
  RCPT TO:<someone-else@example.org>

  Un servidor seguro rechaza la última línea con un error como 554 5.7.1 Relay access denied o 454 4.7.1. Si responde 250, es un open relay. Escribe QUIT sin enviar nada.

Cómo solucionarlo

Postfix

1. Limita las redes de confianza al propio servidor en /etc/postfix/main.cf:

   mynetworks = 127.0.0.0/8 [::1]/128

   No pongas nunca 0.0.0.0/0 ni un rango público amplio aquí.
2. Permite el relay solo a las redes de confianza y a los usuarios autenticados:

   smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination

3. Asegúrate de que relay_domains solo incluye los dominios que gestionas de verdad.
4. Recarga: postfix reload.

Otros servidores

Exim, Exchange, hMailServer y otros tienen la misma idea con nombres distintos: busca «relay», «allowed IPs» o «trusted networks» y permite solo a los usuarios autenticados y a localhost.

Comprueba también si hay cuentas robadas

A veces el servidor no está abierto, pero la contraseña de un buzón ha sido robada y el spam se envía con un inicio de sesión real. El log muestra entonces un nombre de usuario junto a cada spam. Cambia esa contraseña, busca contraseñas débiles en todas las cuentas y plantéate herramientas como fail2ban, que bloquean los intentos de inicio de sesión repetidos. Los scripts antiguos de una web o los formularios de contacto también pueden usarse para enviar spam.

Limpia

1. Elimina el spam de la cola. En Postfix, postsuper -d ALL deferred borra los mensajes diferidos; comprueba bien que no haya emails reales esperando.
2. Vuelve a comprobar tu IP en /blacklists y solicita la retirada de cada lista una vez solucionado el problema. Las herramientas de salida de blacklists del panel de pago pueden ayudarte a hacer el seguimiento.

Comprueba que está solucionado

Repite la prueba con telnet desde fuera: la línea RCPT hacia una dirección externa debe ser rechazada. Después envía un email normal desde una cuenta real a tu dirección de prueba de la página de inicio (/) para confirmar que los envíos legítimos siguen funcionando y que no aparece ninguna blacklist.