Proxmox Mail Gateway es un filtro de correo que se pone por delante del servidor de correo de la empresa y decide qué mensajes entran y cuáles se rechazan o quedan en cuarentena antes de tocar ningún buzón. Es software libre, se instala en una máquina propia o virtual y hace el mismo trabajo que se suele contratar como servicio externo con una cuota por buzón y mes. Para una empresa que ya tiene su correo funcionando y quiere recortar spam y phishing sin firmar otra suscripción por usuario, es una de las piezas con mejor relación entre esfuerzo y resultado. Aquí explicamos qué hace, qué no hace y cuándo compensa frente a un filtro en la nube.
Qué es Proxmox Mail Gateway
Proxmox Mail Gateway (PMG) es una pasarela antispam y antivirus para correo corporativo, publicada bajo licencia AGPLv3 por la misma empresa austriaca que desarrolla Proxmox VE. Funciona como proxy SMTP de almacenamiento y reenvío, es decir, recibe el correo dirigido a tus dominios, lo analiza y solo entrega al servidor interno lo que supera los filtros.
La versión actual es la 9.1, publicada el 11 de junio de 2026 y basada en Debian 13. Se instala desde su propia imagen ISO sobre un servidor dedicado o, lo más habitual, como máquina virtual dentro del hipervisor que ya tienes. Los requisitos mínimos documentados son una CPU de 64 bits y 2,5 GiB de RAM, con 4 GiB recomendados; el consumo real sube con el volumen de correo y el número de reglas activas.
Cómo funciona por delante de tu servidor
El cambio se hace en el DNS. Los registros MX de tus dominios dejan de apuntar al servidor de correo y apuntan a la pasarela, que a su vez conoce el destino real de cada dominio y le reenvía lo limpio. Desde fuera, el único servidor que expone el puerto 25 es la pasarela, así que el servidor de correo deja de recibir conexiones directas de internet. También puede filtrar el correo saliente, poniendo la pasarela como relé de salida del servidor interno, lo que sirve para firmar con DKIM y para detectar a tiempo que un buzón comprometido está enviando spam en tu nombre.
Si el servidor interno se cae o se reinicia, la pasarela retiene el correo en cola y lo entrega cuando vuelve, en lugar de devolverlo al remitente. Y funciona igual con cualquier destino, sea un Exchange local, una suite de correo en la nube o un servidor de correo Linux, porque solo habla SMTP con lo que hay detrás.
Qué filtros aplica
La pasarela trabaja en dos tiempos. Primero descarta a nivel de conexión SMTP, antes de aceptar el mensaje, y después analiza el contenido de lo que ha aceptado.
- Verificación de destinatario. Rechaza en la propia conexión los mensajes dirigidos a buzones que no existen, que es el grueso del correo basura dirigido a direcciones inventadas.
- Listas de bloqueo DNS y SURBL. Consulta listas públicas de direcciones IP con historial de envío masivo y de dominios que aparecen en los enlaces de los mensajes.
- Greylisting. Rechaza temporalmente al remitente desconocido y lo acepta cuando reintenta. Los servidores legítimos reintentan; buena parte de las herramientas de envío masivo, no.
- SPF. Comprueba que el servidor que entrega el correo está autorizado por el dominio del remitente, lo que corta la suplantación más burda.
- Análisis de contenido y antivirus. Puntuación de spam sobre el cuerpo y las cabeceras, más ClamAV para adjuntos con malware, y filtrado por tipo de fichero.
- Sistema de reglas orientado a objetos. Reglas propias combinando quién envía, quién recibe, qué contiene el mensaje y en qué franja horaria llega, con la acción que corresponda.
Lo que se marca como spam no se borra, va a una cuarentena que cada usuario puede revisar por su cuenta desde una interfaz web propia, con autenticación contra el directorio de la empresa por LDAP si interesa. Así se evita el goteo diario de avisos al equipo técnico para recuperar un mensaje. A ello se suma el centro de seguimiento de mensajes, que reconstruye el recorrido completo de cualquier correo de los últimos siete días y responde en un minuto a la pregunta más repetida de todas, que es si un mensaje concreto llegó y qué se hizo con él.
Gratis, de pago y qué cambia entre ambos
El producto es el mismo en los dos casos, sin funciones recortadas. Sin suscripción se usa el repositorio público de actualizaciones y el soporte es el foro de la comunidad. Con suscripción se accede al repositorio empresarial, con actualizaciones más contrastadas, y a soporte del fabricante. Según los precios públicos de Proxmox consultados en octubre de 2026, van de 190 euros al año por servidor en el nivel Community a 1.900 en el Premium, sin IVA. Entre medias quedan Basic, a 540, y Standard, a 1.260. Todos incluyen usuarios y dominios ilimitados.
Comparado con lo que cuesta un filtro por buzón, la aritmética se explica sola en cuanto hay unas cuantas decenas de usuarios. Lo que no aparece en esa cuenta son las horas de operación, y son las que acaban decidiendo.
| Criterio | Pasarela propia | Filtro en la nube por buzón | Filtro incluido en la suite |
|---|---|---|---|
| Coste | Cuota anual por servidor, sin límite de buzones | Cuota por buzón y mes, crece con la plantilla | Ya pagado dentro de la licencia |
| Dónde queda el correo retenido | En tu infraestructura | En la del proveedor | En la del proveedor |
| Control de reglas | Total, con reglas propias | Medio, según lo que exponga el panel | Limitado |
| Quién lo opera | Tu equipo o un proveedor gestionado | El proveedor | El proveedor |
| Cuarentena por usuario | Sí, con acceso propio | Habitual | Habitual |
Cuándo compensa montarla
Compensa cuando ya operas máquinas virtuales y añadir una más es rutina, cuando el número de buzones hace que el precio por usuario deje de tener sentido, cuando quieres reglas que un panel cerrado no te deja escribir, o cuando el correo retenido no debería salir de tu infraestructura por criterio de soberanía del dato. Encaja especialmente bien si ya tienes un clúster propio, y es una de las piezas que solemos añadir cuando alguien viene de una migración de VMware a Proxmox y quiere aprovechar la plataforma para algo más que servidores.
No compensa cuando nadie va a encargarse de ella. Una pasarela de correo es un sistema crítico; si falla, no entran pedidos. Necesita actualizaciones al día, monitorización con guardia opcional para las incidencias que no pueden esperar al lunes, vigilancia de las colas y de las listas de reputación, y copias probadas de su configuración. Un equipo de diez personas sin nadie de sistemas está mejor con el filtro que ya trae su suite, o con la pasarela operada por terceros.
Un escenario típico: pedidos que se perdían en el filtro
Una empresa industrial de unas sesenta personas, con el correo en una suite en la nube y el filtro que viene incluido. El problema era el correo legítimo que no llegaba. Pedidos de dos clientes habituales caían en el filtro sin aviso, los albaranes automáticos de un proveedor se marcaban como sospechosos cada vez que cambiaba el formato del adjunto, y comercial se enteraba días después por teléfono. Cada recuperación pasaba por abrir una petición al proveedor y esperar.
Se montó una pasarela propia como máquina virtual en el clúster que ya tenían, con los MX apuntando a ella y la suite en la nube configurada para aceptar correo solo desde esa pasarela. Reglas propias para los dominios de los clientes y proveedores conocidos, cuarentena accesible por cada usuario con su cuenta del directorio, y firma DKIM en el correo de salida.
Lo que cambió fue el tiempo de respuesta más que el porcentaje de spam. Un comercial que sospecha que le falta un correo lo busca él mismo en su cuarentena y lo libera en segundos, y cuando hay que demostrar a un cliente que su mensaje nunca llegó, el centro de seguimiento lo resuelve en una consulta. El volumen de correo que ni siquiera se acepta en la conexión bajó lo suficiente para que el buzón compartido de administración volviera a ser manejable.
Lo que no cubre
Conviene ser claro con los límites, porque una pasarela bien puesta genera una confianza que a veces se estira de más. No sustituye a tener bien publicados los registros de autenticación de tu propio dominio, que es lo que impide que suplanten tu marca hacia fuera; eso se explica en cómo evitar el spam con SPF, DKIM y DMARC. No protege de una cuenta comprometida con la contraseña correcta, porque ahí el atacante entra por la puerta. No es un sistema de archivado legal ni de retención de correo, aunque conserve los mensajes en cola. Y frente a un fraude del director bien redactado, sin adjuntos ni enlaces y desde un dominio recién registrado, el filtro ayuda pero quien decide es la persona que lo lee.
Tres datos antes de decidir
Antes de montar nada hay tres datos que conviene tener sobre la mesa, y ninguno lleva más de una tarde. Cuántos buzones reales tienes y cuánto pagas hoy por filtrarlos; cuántas veces al mes alguien pide recuperar un correo legítimo que se quedó por el camino; y si hay alguien que pueda mantener una máquina más o si eso tiene que estar en un contrato. Con eso ya se sabe si la pasarela es la respuesta o si el problema está en otro sitio. Nosotros la desplegamos y la operamos como parte del servicio de correo corporativo gestionado, con actualizaciones, vigilancia de colas y reputación, y copias de la configuración. Si quieres saber qué te saldría a cuenta con tus buzones y tu volumen, cuéntanos cómo tienes montado el correo hoy y lo miramos juntos en un diagnóstico sin compromiso.
Si antes de cambiar de filtro quieres asegurarte de que tu dominio está bien autenticado, aquí explicamos cómo configurar SPF, DKIM y DMARC paso a paso.