Alternativa a Google Workspace: cuándo la custodia gana

Casi todas las organizaciones que están en Google Workspace deberían quedarse en Google Workspace. El filtro de spam de Gmail es mejor que cualquiera que yo pueda construir, Docs y Meet no tienen recambio que sus compañeros vayan a aceptar en silencio, y la consola de administración hace cosas — SSO, política de dispositivos, retenciones legales — que un host de correo simplemente no hace. Esta página es para el grupo más pequeño cuyo primer requisito es distinto: el correo almacenado tiene que estar en una infraestructura y una jurisdicción que elija usted. Si ese requisito no está escrito en ninguna parte, quédese con Workspace y lea otra cosa.

¿Es Google Workspace un problema de verdad?

No de la forma que insinúa el marketing de privacidad, y sí de una forma concreta.

El correo de Workspace no se analiza para segmentar publicidad; Google terminó con el análisis del contenido de Gmail para anuncios en el producto de consumo en 2017, y Workspace nunca lo tuvo. La cuestión es estructural y no de conducta. Google tiene los bytes, Google es una empresa estadounidense, y la CLOUD Act de EE. UU. — en vigor desde 2018 — obliga a un proveedor constituido allí a entregar los datos que controla sin importar en qué país estén los discos. Google vende controles de región de datos en algunos planes, que fijan dónde reposan los datos. Eso responde a la residencia y deja la jurisdicción donde estaba.

Para la mayoría de los compradores es un intercambio aceptable, hecho a sabiendas. Para un subcontratista de defensa, un comité de empresa, un despacho de abogados con un mandato de cliente o un organismo público que opera bajo una norma escrita de soberanía, es la decisión entera.

¿Qué pierde al sacar el correo de Workspace?

Tres cosas, y una de ellas es más grande de lo que la gente espera.

Primero se va la suite: la colaboración en tiempo real en Docs y Sheets, compartir en Drive con gente de fuera de la empresa, enlaces de Meet que todo el mundo ya sabe pulsar. El Calendar compartido es el que de verdad duele: la reserva de salas, la disponibilidad de toda la organización y el hábito que llevan incorporado todos sus compañeros.

Segundo se va el plano de administración. Workspace como proveedor de identidad SAML para el resto de su SaaS, la verificación en dos pasos obligatoria, las reglas de DLP, la retención y el eDiscovery de Vault, la gestión de dispositivos móviles, los registros de auditoría. Un host de correo con almacenamiento propio no tiene nada de eso, y fingir lo contrario sería una tontería.

Tercero se va el filtro. El clasificador de spam de Gmail está entrenado sobre una porción del correo del mundo que nadie más tiene. Nisdos Mail filtra con heurísticas de contenido, comprobaciones de reputación y un clasificador por buzón entrenado solo con sus propias marcas de spam: privado, explicable y partiendo de muchísima menos señal que el de Google.

¿Qué gana?

Custodia, la jurisdicción como un ajuste, una factura que ignora la plantilla y direcciones que deja de racionar.

Cada mensaje se cifra con una clave por buzón antes de escribirse en un almacenamiento que es suyo: su bucket S3 o R2, su servidor WebDAV, un repositorio Git. El nivel de custodia en el dispositivo, en beta, genera las claves en su navegador y borra nuestra copia, y a partir de ahí nosotros tampoco podemos leer su correo almacenado.

La jurisdicción pasa a ser dos elecciones explícitas en lugar de un valor heredado: la región donde están físicamente los bytes y el país donde está constituido el operador del almacenamiento. La región sola no es la jurisdicción, que es precisamente por lo que una región europea operada por una empresa estadounidense no satisface un mandato de soberanía.

El precio deja de seguir a las contrataciones. Nisdos Mail son $2 por 25 GB al mes con dominios, usuarios y alias ilimitados, más $1 por 25 GB para almacenamiento residente en la UE. La factura de correo de un equipo de quince personas pasa a ser una función del volumen almacenado, y las direcciones ilimitadas en sus propios dominios cambian cómo usa el correo: una por proveedor, una por proyecto, una por canalización de despliegue.

Irse también es distinto. No hay exportación, porque el archivo ya está en su cuenta. Lo que hace es reapuntar el enrutado.

¿Se puede conservar Workspace y mover solo el correo?

Sí, y este híbrido es lo que recomiendo a la mayoría de los equipos que nos escriben. Workspace admite funcionar sin Gmail: desactive el servicio de Gmail en la consola de administración, conserve Docs, Drive, Calendar y Meet, y apunte los registros MX de su dominio al host de correo. Las invitaciones de calendario siguen funcionando, porque una invitación es un mensaje de correo ordinario. Usted conserva las herramientas de colaboración y Google deja de guardar la correspondencia.

La versión más estrecha también funciona. La custodia es un ajuste por dominio o por buzón, así que puede mover solo los buzones que llevan el requisito — jurídico, personal, el consejo — y dejar al resto donde está. Una norma de soberanía que se aplica a un departamento no tiene que convertirse en un proyecto de migración de toda la empresa.

¿Cómo va la migración en la práctica?

Unos dos días de trabajo real repartidos en un mes, y el archivo es la parte lenta.

Configure primero el dominio en el host nuevo y deje que verifique SPF, DKIM y DMARC mientras Gmail sigue recibiendo todo. Después mueva el archivo: Takeout para un MBOX completo por cuenta, o imapsync directamente desde Gmail al buzón nuevo, que suele alcanzar antes un estado utilizable. Ejecute los dos en paralelo reenviando de Gmail al buzón nuevo, para que nada dependa de acertar con el DNS a la primera. Cambie los registros MX cuando el envío saliente se vea limpio en sus informes DMARC, y conserve la cuenta de Workspace un ciclo de facturación más.

Los fallos son predecibles. Los remitentes automáticos que nadie recuerda — facturas, alertas de monitorización, notificaciones de CI — están configurados contra direcciones viejas. Todo lo que use el acceso con Google sigue funcionando solo mientras exista la cuenta de Workspace. Y alguien tendrá una regla de filtrado en Gmail que sostenía su flujo de trabajo en silencio desde hace seis años.

¿Quién NO debería hacer esto?

Diga que no si alguna de estas cosas le describe.

Su equipo vive en Docs y Sheets con mucha colaboración en tiempo real y mucho compartir fuera; el correo es lo de menos de lo que Workspace hace por usted. Usa Workspace como proveedor de identidad, y en ese caso cancelarlo significa reemplazar también su IdP. Depende de Vault para retención legal o eDiscovery bajo una obligación normativa. Nadie en la plantilla quiere hacerse cargo de unas credenciales de almacenamiento y probar una restauración. O el requisito que en realidad intenta satisfacer es la residencia de datos en la UE y nada más: en ese caso los controles de región de datos de Google, o una suite alojada en la UE, le llevarán ahí con una fracción de la disrupción.

La custodia es una propiedad real con un precio real, pagado en herramientas que ya no tiene y en responsabilidad que ahora carga. Cómprela cuando un requisito lo diga.