Por qué tus correos llegan a spam (y cómo arreglarlo)

Hay una creencia muy extendida: que los correos caen en spam por escribir “gratis” o por poner demasiados signos de exclamación. Eso era verdad hace quince años.

Hoy el filtro decide antes de leer tu texto. Mira quién envía, si ese dominio está autenticado y qué opinan de él las personas que ya recibieron tus correos. Si fallas ahí, da igual lo bien escrito que esté el asunto.

Y desde hace poco el margen se redujo. En su documentación oficial, Google avisa que “a partir de noviembre de 2025, Gmail está intensificando la aplicación de las normas sobre el tráfico que no cumple los requisitos”, con “rechazos temporales y permanentes” para los mensajes que no cumplan. Ya no es una recomendación.

Empieza por diagnosticar, no por adivinar

Antes de tocar nada, averigua qué está pasando:

Envíate una campaña de prueba a una cuenta de Gmail, una de Outlook y una corporativa. Mira en cuál cae en spam. Si solo falla en una, el problema es distinto que si fallan todas.
Abre el correo y mira la cabecera. En Gmail: los tres puntos → “Mostrar original”. Ahí verás tres líneas que importan: SPF, DKIM y DMARC. Cada una dirá PASS o FAIL.
Date de alta en Google Postmaster Tools con tu dominio. Es gratis y es la única forma de ver tu tasa real de quejas de spam. Google añadió además un panel de estado de cumplimiento que te dice exactamente qué requisito estás incumpliendo.

Si en el paso 2 ves algún FAIL, ya tienes la causa. El resto del artículo es cómo arreglarla.

Qué mira de verdad un filtro de spam

Tres cosas, por orden de peso:

Autenticación. ¿Puedes demostrar que ese correo salió de quien dice? Esto es SPF, DKIM y DMARC.
Reputación. El historial de tu dominio y de la IP desde la que envías. Se construye con el tiempo y se destruye rápido.
Comportamiento. Cuánta gente abre, responde, borra sin leer o marca como spam.

El contenido influye, pero muy por detrás de estos tres. Por eso una campaña impecablemente redactada puede ir directa a spam si el dominio no está autenticado.

SPF: quién tiene permiso para enviar por ti

SPF es un registro TXT en tu DNS donde declaras qué servidores pueden enviar correo con tu dominio.

Tipo:   TXT
Nombre: @
Valor:  v=spf1 include:amazonses.com include:_spf.google.com ~all

Tres reglas que se rompen a menudo:

Solo puede existir un registro SPF por dominio. Si tienes dos, ambos fallan. Si usas varios proveedores, van todos dentro del mismo registro, separados por espacios.
Máximo 10 consultas DNS. Cada include: cuenta. Si encadenas demasiados proveedores, SPF devuelve permerror y deja de validar.
Usa ~all (softfail) o -all (fail), nunca +all, que autoriza a cualquiera a enviar en tu nombre.

DKIM: la firma que demuestra que nadie lo tocó

DKIM añade una firma criptográfica a cada correo. El receptor busca tu clave pública en el DNS y comprueba que el mensaje no se modificó por el camino.

Lo publica tu proveedor de envío y se ve así:

Tipo:   CNAME
Nombre: abc123._domainkey
Valor:  abc123.dkim.amazonses.com

Ese abc123 es el selector, y es la parte que más confusión genera: cada proveedor usa el suyo. Si envías con dos servicios distintos, necesitas los registros DKIM de los dos publicados a la vez. No se pisan.

DMARC y la alineación: el fallo número uno

Aquí es donde falla la mayoría, y es el más contraintuitivo.

DMARC le dice al receptor qué hacer cuando SPF y DKIM no cuadran. El registro mínimo es este:

Tipo:   TXT
Nombre: _dmarc
Valor:  v=DMARC1; p=none; rua=mailto:informes@tudominio.com

Pero DMARC no se conforma con que SPF o DKIM den PASS. Exige alineación: que el dominio del From: que ve tu suscriptor coincida con el dominio validado por SPF o por DKIM.

Puedes tener SPF en PASS y DKIM en PASS, y aun así DMARC en FAIL. Ocurre cuando envías desde hola@tuempresa.com pero la validación ocurre contra el dominio de tu proveedor. Técnicamente todo está firmado; simplemente no está firmado por ti.

La solución es autenticar tu propio dominio de envío en la plataforma que uses, en vez de apoyarte en el dominio compartido del proveedor. Es exactamente la diferencia entre enviar desde un servidor genérico y enviar con tu propio SMTP y tu dominio verificado.

Empieza siempre con p=none, que solo observa y te manda informes. Cuando lleves semanas viendo que todo tu correo legítimo alinea bien, sube a p=quarantine y después a p=reject.

Qué exigen hoy Gmail y Yahoo

Desde el 1 de febrero de 2024, Google pide a todo el que envíe más de 5.000 mensajes al día a cuentas de Gmail:

SPF y DKIM (no uno u otro: los dos).
DMARC publicado, aunque sea con p=none.
Alineación del dominio del From: con SPF o con DKIM.
Baja en un clic en los correos comerciales.
Mantener la tasa de quejas por debajo del 0,3 %, y Google recomienda expresamente quedarse por debajo del 0,1 %.
Conexión TLS y registros DNS directo e inverso válidos.

Yahoo publica requisitos prácticamente idénticos, e incluye algo que conviene revisar: procesar las bajas en un plazo máximo de dos días.

Dos detalles del umbral de 5.000 que sorprenden

Están en la documentación de Google y casi nadie los menciona:

Se suma todo el dominio. El límite no es por buzón ni por herramienta. Los mensajes enviados desde tu dominio principal y desde sus subdominios cuentan juntos. Si marketing envía 3.000 desde promos.tuempresa.com y la aplicación manda 2.500 avisos desde tuempresa.com, ya eres un remitente masivo aunque ninguna de las dos áreas lo sea por separado.

La clasificación no caduca. Google lo dice sin rodeos: quien ha sido clasificado como remitente masivo queda clasificado así de forma permanente. No vuelves atrás bajando el volumen el mes siguiente.

La conclusión práctica: si alguna vez vas a acercarte a esa cifra, configúralo todo desde el principio.

Baja en un clic, de verdad

No basta con un enlace de “darse de baja” al final del correo. Los correos comerciales deben llevar estas cabeceras, definidas en los RFC 2369 y 8058:

List-Unsubscribe: <https://tudominio.com/baja/abc123>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Con eso, Gmail muestra su propio botón de baja junto al remitente. Suena contraproducente ponérselo fácil a quien quiere irse, pero es justo al revés: una baja no te hace daño y una queja de spam sí. Cuanto más visible es el botón de baja, menos gente usa el de “marcar como spam”.

Mantén las quejas por debajo del 0,1 %

El 0,3 % del que habla Google es el techo, no el objetivo. Para hacerse una idea: 3 quejas por cada 1.000 envíos ya te pone en el límite.

Lo que más ayuda a bajarlas:

Doble confirmación en los formularios de alta. Menos contactos, pero contactos que sí te esperan.
Frecuencia estable. Desaparecer seis meses y volver con una campaña masiva dispara las quejas.
Remitente reconocible. Que el nombre y el dominio sean los que la persona asocia con tu marca.
Segmentar. Enviar a quien le interesa el tema, en vez de a la lista entera por costumbre.

Calienta el dominio antes de enviar en volumen

Un dominio nuevo no tiene reputación. Si tu primer envío son 50.000 correos, los filtros asumen lo peor.

Sube el volumen de forma progresiva durante dos o tres semanas: empieza por unos cientos, duplica cada dos días y vigila las métricas en cada escalón. Y empieza por tus contactos más activos, los que abren y responden: las primeras señales positivas valen mucho.

Si cambias de proveedor o estrenas IP dedicada, este proceso vuelve a empezar, aunque tu dominio ya tuviera buena reputación.

Limpia la lista sin miedo

Una lista sucia hunde la entregabilidad:

Rebotes duros: fuera de inmediato. Direcciones que no existen.
Contactos inactivos: si alguien no abre nada en seis o doce meses, intenta una campaña de reactivación y, si no responde, retíralo.
Listas compradas: no las uses. Suelen incluir spam traps, direcciones creadas precisamente para detectar a quien compra bases de datos. Caer en una puede bloquear tu dominio durante meses.

Reducir la lista duele, pero una lista de 5.000 personas interesadas rinde más y arriesga menos que una de 50.000 indiferentes.

Lista de comprobación

Repásala antes de la próxima campaña:

SPF publicado, uno solo y con menos de 10 consultas DNS
DKIM activo con el selector de tu proveedor
DMARC publicado, mínimo p=none, con dirección de informes
El From: alinea con SPF o con DKIM
Cabeceras List-Unsubscribe y List-Unsubscribe-Post
Dominio dado de alta en Postmaster Tools
Tasa de quejas por debajo del 0,1 %
Rebotes duros eliminados tras cada envío
Volumen creciendo de forma gradual, sin saltos

Si los nueve están marcados y aun así caes en spam, el problema ya sí puede ser el contenido o la reputación previa del dominio. Pero eso pasa mucho menos de lo que la gente cree.

Las citas de requisitos proceden de la documentación oficial de Google para remitentes de correo y de las buenas prácticas de Yahoo, consultadas en septiembre de 2026.