📧Buenas prácticas: Configuración Segura de Envíos (SMTP y Formularios)

Tu sitio web puede enviar correos (formularios de contacto, reservas, presupuestos, etc.).
Pero si está mal configurado, puede generar spam, bloquear tu dominio o afectar la reputación de tus correos.

Seguí estas reglas para asegurarte de que tus envíos sean seguros, confiables y no terminen en listas negras.

1. Regla de Oro: Usá SMTP Autenticado (Siempre)

Para que tus formularios envíen correos de forma segura, tenés que usar SMTP con autenticación.

No uses mail() de PHP sin autenticación: es inseguro, fácil de falsificar y muchos servidores lo bloquean.

👉 Usá siempre SMTP autenticado.
👉 Evitá PHP mail() siempre que sea posible.

Configuración SMTP recomendada (Web Hosting Donweb)

• Host SMTP: usuario.ferozo.com (o el servidor que corresponda a tu cuenta)

• Puerto: 465 (SSL/TLS)

• Seguridad: SSL

• Usuario: tu cuenta de correo completa (ej.: formularios@tudominio.com)

• Contraseña: la contraseña de esa cuenta de correo

Aunque el puerto 587 es un estándar, en Web Hosting Donweb la conexión más estable y segura es 465 con SSL.

Requisitos Técnicos Obligatorios

🛡️ Protegé tu formulario con CAPTCHA (sí o sí)

Para evitar envíos automáticos de bots:

• Google reCAPTCHA (v2 o v3)

• Cloudflare Turnstile (liviano y muy recomendado)

Si no usás CAPTCHA, tu formulario va a recibir spam.

🔐 No guardes contraseñas junto al formulario

Nunca dejes la contraseña del correo dentro del archivo del formulario.

• En PHP: guardala en un config.php separado, preferentemente fuera de public_html.

• En ASP.NET: usá Web.config (appSettings / mailSettings).

No expongas tu contraseña del correo en el código público.

Evitá spoofing (suplantación): From debe ser tu correo, no el del visitante

Cuando un visitante completa un formulario:

• El From (remitente) → debe ser tu cuenta autenticada
  (ej.: no-responder@tudominio.com)

• El email del visitante → ponelo en el campo Reply-To

Esto evita bloqueos, rebotes y que tus envíos sean marcados como falsificados.

🧼 Sanitizá todos los datos del usuario

Para evitar ataques XSS:

• Usá htmlspecialchars() o filtros similares.

• No envíes datos crudos al correo.

• Validá y limpiá nombre, email y mensaje.

Buenas Prácticas para CMS (WordPress, Joomla, etc.)

La mayoría de los incidentes vienen de WordPress mal configurado.
Seguí estas reglas para mantener tu sitio seguro.

🧩 Usá solo plugins de formularios seguros

Plugins recomendados:

• Contact Form 7

• WPForms

• Gravity Forms

Evita:

• Plugins desconocidos

• Plugins desactualizados

• Plugins “nulled” (pirateados)

2. Regla de Unicidad: no tengas 3 plugins que hacen lo mismo

No instales:

• 3 plugins de formularios

• 2 plugins de SMTP

• Módulos duplicados que entren en conflicto

Usá un solo plugin para cada función.

Menos cosas = menos vulnerabilidades.

3. Mantené tu WordPress “limpio” y actualizado

• Actualizá WordPress, el tema y todos los plugins.

• Borrá plugins que no usás (incluso si están desactivados).

• Los plugins inactivos también pueden tener fallas que permiten ejecución de código.

Un WordPress viejo o sucio es un WordPress vulnerable.