Respuesta corta: casi siempre, un servidor envía spam porque una cuenta de correo con contraseña débil fue hackeada, un formulario sin protección quedó expuesto o un sitio con malware envía correos. Para prevenirlo, limita los correos por hora de cada dominio y bloquea los envíos de scripts no identificados. Si caíste en una lista negra, corta la fuente antes de pedir la salida.
Cuando un servidor envía spam, el problema no es solo de quien lo causa: la IP del servidor termina en listas negras y los correos legítimos de todos los sitios empiezan a rebotar o a llegar a la carpeta de spam. Si administras un VPS con cPanel/WHM, esta guía te muestra cómo prevenirlo y qué hacer si ya pasó.
Por qué un servidor termina enviando spam
| Causa | Cómo pasa |
|---|---|
| Contraseña de correo débil o filtrada | Un atacante entra a la cuenta y la usa para enviar miles de correos |
| Formulario sin protección | Un bot usa el formulario de contacto para enviar mensajes a terceros |
| WordPress, tema o plugin vulnerable | Le inyectan un script que envía correos desde el servidor |
| Reenvíos (forwarders) de correo | El servidor reenvía spam que recibe hacia otros proveedores, que terminan bloqueándolo |
| Configuración abierta | Cualquier usuario o script puede conectarse directo a servidores de correo externos |
Cómo detectar que tu servidor está enviando spam
- Cola de correo muy grande: en WHM, revisa Email › Mail Queue Manager. Cientos o miles de mensajes en espera son una señal de alerta.
- Picos de envío por dominio: en Email › View Sent Summary puedes ver cuántos correos envía cada dominio y detectar al responsable.
- Rebotes masivos: muchos correos devueltos o avisos de “mensaje rechazado”.
- Avisos de tus clientes: sus correos legítimos rebotan o llegan a spam.
- La IP aparece en listas negras (más abajo te explicamos cómo revisarlo).
Cómo prevenirlo: ajustes de WHM
Estos ajustes están en Server Configuration › Tweak Settings, pestaña Mail, y en el Security Center de WHM (según la documentación oficial de cPanel):
- Max hourly emails per domain: límite de correos que cada dominio puede enviar por hora. Por defecto es ilimitado: define un número que alcance para el uso normal de tus clientes, pero que frene un envío masivo. También puedes fijarlo por paquete.
- Maximum percentage of failed or deferred messages a domain may send per hour: si un dominio supera ese porcentaje de rebotes (algo típico del spam), el servidor bloquea sus envíos temporalmente.
- Prevent “nobody” from sending mail: impide que los scripts que corren como el usuario genérico “nobody” envíen correo a direcciones externas. Ayuda a identificar qué cuenta envía cada correo.
- Initial default/catch-all forwarder destination: define qué pasa con los correos que llegan a direcciones que no existen. La opción Fail los rechaza y avisa al remitente; es la recomendada si recibes ataques de correo. Evita guardarlos en una cuenta, porque se llena de spam.
- SMTP Restrictions (en Security Center): permite que solo el servidor de correo, root y Mailman se conecten a servidores SMTP externos. Así, un script malicioso no puede saltarse tu servidor de correo para enviar spam directamente.
Cómo prevenirlo en cada cuenta
- Contraseñas largas y únicas en todas las cuentas de correo, y cambiar de inmediato las que se usaron en otros sitios.
- Protege los formularios con un CAPTCHA o con un campo oculto antispam, y configura WordPress para enviar los correos por SMTP autenticado: lo explicamos en cómo configurar el SMTP en WordPress.
- Mantén WordPress, los temas y los plugins al día: revisa cómo actualizar WordPress sin romper nada.
- Configura SPF, DKIM y DMARC en cada dominio. No evitan que una cuenta hackeada envíe spam, pero ayudan a que tus correos legítimos sean reconocidos. Si tu hosting es Znet-Hosting, sigue las guías para agregar un registro SPF y agregar un registro DKIM.
- Revisa los reenvíos: evita reenviar automáticamente todo el correo de una cuenta a un proveedor externo, porque también se reenvía el spam.
Qué hacer si tu IP está en una lista negra
1. Confirma en qué listas estás
Revisa la IP de tu servidor en una herramienta de consulta de listas negras como MXToolbox. Anota en qué listas apareces: cada una tiene su propio proceso para salir.
2. Corta la fuente del spam
Antes de pedir que te saquen, encuentra y detén la causa. Si no, vuelves a caer en pocas horas:
- Identifica la cuenta o el sitio responsable con View Sent Summary y con el historial de envíos (Track Delivery en cPanel).
- Cambia la contraseña de la cuenta comprometida o suspende temporalmente sus envíos.
- Si el origen es un sitio, revisa y limpia el malware, y actualiza todo.
- Limpia la cola de correo en Mail Queue Manager, eliminando los mensajes de spam pendientes.
3. Pide la salida de la lista
Cada lista tiene un formulario de solicitud (delisting). Algunas te sacan de forma automática después de unos días sin actividad sospechosa; otras piden que expliques qué corregiste. Sé breve y concreto: qué pasó, qué hiciste para corregirlo y qué medidas tomaste para que no se repita.
4. Monitorea
Durante las semanas siguientes, revisa la cola de correo y el resumen de envíos, y vuelve a consultar la IP en las listas negras.
¿Tu servidor está en una lista negra y necesitas ayuda?
Necesito ayuda con mi servidor
Preguntas frecuentes
Las causas más comunes son una cuenta de correo con una contraseña débil que fue hackeada, un formulario sin protección usado por bots o un sitio con malware que envía correos desde el servidor.
Consulta la IP de tu servidor en una herramienta de listas negras, como MXToolbox. Te muestra en qué listas aparece y el enlace para pedir la salida de cada una.
Depende del uso real de tus clientes. Define un límite que alcance para el uso normal de una pyme (sus correos diarios y los formularios de su sitio) y que frene un envío masivo. Si un cliente necesita enviar campañas, usa un servicio de correo masivo.
No. SPF y DKIM ayudan a que los correos legítimos sean reconocidos como tuyos, pero si un atacante usa una cuenta real de tu servidor, sus correos van a pasar esas verificaciones. Para evitar el spam necesitas contraseñas fuertes, límites de envío y sitios actualizados.
Depende de la lista: algunas te sacan de forma automática a los pocos días si no detectan más spam, y otras requieren una solicitud manual. Lo más importante es cortar la causa antes de pedirlo.
Sigue leyendo
- Cómo configurar un VPS con cPanel/WHM: primeros pasos
- VPS administrado o no administrado: cuál te conviene
- ¿Cómo configurar el SMTP en WordPress? Guía paso a paso
Por Mauricio Zalles, Webmaster de Znet-Hosting. Actualizado el 17 de octubre de 2026.