¿Por qué una confirmación de pedido que el cliente espera acaba igualmente en la carpeta de spam? Porque Gmail y Yahoo juzgan el dominio de envío por su autenticación y por su tasa de quejas. Los correos transaccionales (confirmación de pedido, restablecimiento de contraseña, factura) se envían de forma automática tras una acción del usuario y no tienen ningún trato de favor: un dominio sin autenticar o una tasa de spam cercana al 0,30 % en Postmaster Tools los expone a la carpeta de spam. Google pide mantenerse por debajo del 0,10 %. Esta guía enumera los ajustes que conviene revisar, con los umbrales publicados por Google y Yahoo, contrastados en octubre de 2026.
¿Por qué un email esperado acaba en spam?
Un restablecimiento de contraseña pasa por los mismos filtros que una promoción: pesan la autenticación del dominio, el historial de la IP, el volumen de quejas y la tasa de rebote. Hay 4 causas habituales. El dominio no está autenticado. Los envíos de marketing y los transaccionales comparten la misma reputación, así que una campaña mal segmentada penaliza las confirmaciones de pedido. Los formularios aceptan direcciones falsas o mal escritas: cada registro erróneo produce un hard bounce. Y por último, el volumen varía bruscamente de un día para otro, sobre todo en el Black Friday.
Las secciones siguientes siguen el orden en que se corrigen estas causas. El contenido del mensaje (asunto, maquetación) tiene su propio artículo: las 5 prácticas imprescindibles de los correos transaccionales.
Lo que Gmail y Yahoo exigen desde 2024
Desde el 1 de febrero de 2024, todo remitente que escriba a Gmail debe autenticar su dominio con SPF o DKIM, publicar un registro PTR válido (DNS inverso), cifrar el envío con TLS y mantener su tasa de spam por debajo del 0,3 % en Postmaster Tools. A partir de 5000 mensajes diarios hacia cuentas personales de Gmail, SPF, DKIM y DMARC pasan a ser obligatorios los tres, con un dominio de la cabecera From alineado con el dominio SPF o DKIM. Los mensajes también deben respetar el formato de la RFC 5322. La política DMARC puede quedarse en p=none.
Según las preguntas frecuentes de las directrices de Google, los 5000 mensajes se cuentan por dominio principal: 2500 envíos desde ejemplo.com y 2500 desde promo.ejemplo.com suman juntos 5000. Google cuenta todos los mensajes de un mismo dominio principal, transaccionales incluidos. Un subdominio aparte aísla la reputación de cada flujo, pero no elimina la obligación de DMARC.
«Mantén las tasas de spam indicadas en Postmaster Tools por debajo del 0,10 % y evita alcanzar una tasa de spam del 0,30 % o superior.» (directrices de Google para remitentes)
Yahoo fija el mismo límite del 0,3 % desde febrero de 2024 y recomienda encarecidamente incluir una etiqueta rua en el registro DMARC para recibir los informes (Yahoo Sender Hub). El Complaint Feedback Loop de Yahoo permite seguir las quejas una vez que DKIM está activo.
SPF, DKIM, DMARC: los 3 registros DNS que hay que publicar
Estos 3 protocolos se publican como TXT en el DNS y están normalizados por las RFC 7208 (SPF), RFC 6376 (DKIM) y RFC 7489 (DMARC). SPF enumera los servidores autorizados a enviar en nombre de tu dominio. DKIM firma cada mensaje con una clave que el destinatario comprueba en el DNS. DMARC indica qué hacer cuando fallan los dos y adónde enviar los informes.
En tu proveedor de DNS, crea un TXT en _dmarc.tudominio.es con el valor v=DMARC1; p=none; rua=mailto:dmarc@tudominio.es y un TTL de 3600 segundos. Comprueba la publicación con dig TXT _dmarc.tudominio.es. Déjalo funcionar de 14 a 28 días, lee los informes agregados y pasa a quarantine cuando todas tus fuentes legítimas superen la comprobación. Saltar directamente a reject corta sin avisar una herramienta olvidada (el CRM o la facturación).
Una trampa frecuente: cada herramienta de envío añade su include al SPF. La RFC 7208 limita a 10 las resoluciones DNS de una evaluación, includes anidados incluidos. Por encima de ese límite, el SPF devuelve un error permanente y la comprobación falla.
Subdominio aparte, IP dedicada o IP compartida
Usa un subdominio aparte en todos los casos. Una IP dedicada solo compensa si tus envíos son regulares. Separa los flujos desde el principio: notificaciones.tudominio.es para los transaccionales y news.tudominio.es para el marketing. Después, comprueba el PTR de la IP con la herramienta Dig de Google Admin Toolbox. Yahoo desaconseja enviar el marketing desde las mismas IP que el transaccional, porque cada IP tiene su propia reputación.
| Criterio | Transaccional | Marketing |
|---|---|---|
| Desencadenante | Acción del usuario (pedido, registro, contraseña olvidada) | Decisión del remitente (newsletter, promoción) |
| Dominio de envío aconsejado | notificaciones.tudominio.es | news.tudominio.es |
| Baja con un clic (RFC 8058) | Excluido de la obligación de Gmail | Exigida a los remitentes masivos |
| Recuento de los 5000 mensajes de Gmail | Se cuenta por dominio principal | Se cuenta por dominio principal |
| IP | Dedicada si el volumen es regular; si no, pool de IP compartido de un proveedor con buena reputación | Separada de la IP transaccional |
| Consecuencia de un bloqueo | Clientes sin enlace de restablecimiento ni factura | Campaña perdida |
Con unos cientos de mensajes al día y pausas los fines de semana, el historial de una IP dedicada queda escaso: un pool compartido y bien gestionado por un proveedor de envío serio suele dar mejores resultados. Evita también usar la dirección del buzón de la empresa como remitente de la aplicación, y las direcciones «noreply» sin seguimiento. Además, Google pide no suplantar las cabeceras From de Gmail: un envío desde una aplicación con una dirección gmail.com lo incumple.
Calentar una IP dedicada sin que te limiten
Google recomienda empezar con un volumen bajo hacia destinatarios comprometidos, aumentarlo de forma progresiva sin duplicarlo de un día para otro y vigilar las respuestas del servidor y la tasa de spam. Gmail suele rechazar los mensajes con el código SMTP 4.7.28 cuando detecta una tasa inusual de correo no solicitado procedente de la IP: reduce el volumen en lugar de reintentar en bucle.
Un consejo práctico para un flujo transaccional: enruta primero los correos más esperados (confirmación de pedido, enlace de acceso) por la nueva IP y añade después las notificaciones secundarias por tramos. El IP warming de una IP dedicada suele durar varias semanas, con tramos diarios que Google Postmaster Tools permite controlar.
Baja con un clic: los transaccionales quedan excluidos
Google reserva la baja con un clic a los mensajes de marketing y promocionales, con un plazo hasta el 1 de junio de 2024 para los remitentes que ya ofrecían un enlace de baja. Él mismo cita como ejemplos de transaccionales excluidos los restablecimientos de contraseña, las confirmaciones de reserva y las confirmaciones de formulario. Para tus newsletters, Google recomienda tramitar cada solicitud en 48 horas. En el plano técnico, la cabecera List-Unsubscribe se implementa según la RFC 8058.
Queda un matiz: es el destinatario quien decide la naturaleza de un mensaje. Una confirmación de pedido con un banner promocional puede percibirse como marketing y acabar marcada como spam.
Lo que cuenta en el propio mensaje
Usa un remitente reconocible cuya dirección acepte respuestas (por qué prohibir las direcciones noreply). Redacta un asunto que anuncie el evento («Tu pedido n.º 4821 está confirmado») y un enlace de seguimiento en tu propio dominio.
Monitorización: las señales que preceden al paso a spam
La reputación de remitente rara vez se degrada de golpe. Hay 4 señales que la anticipan y conviene revisarlas cada semana.
Google Postmaster Tools va primero: muestra la tasa de spam de tu dominio en Gmail. Apunta a menos del 0,10 %. Desde junio de 2024, un remitente masivo por encima del 0,30 % deja de ser elegible para las medidas de mitigación, que solo vuelven tras 7 días consecutivos por debajo de ese umbral (preguntas frecuentes de Google citadas más arriba). Una alerta interna al 0,20 % deja margen.
Los rebotes vienen después. Un hard bounce (dirección inexistente) debe provocar la eliminación inmediata de la dirección. Un soft bounce (buzón lleno, servidor no disponible) se reintenta unas cuantas veces antes de abandonar. Los informes de no entrega (NDR) dan el código exacto de cada rechazo: un código 5.x.x indica un fallo definitivo y uno 4.x.x un fallo temporal, según la norma de códigos SMTP ampliados. El 4.7.28 de Gmail, visto antes, pertenece a esta segunda familia. Archiva estos códigos por dominio de destino para localizar cuál te está limitando.
La presencia en una lista negra también cuenta. Consulta con regularidad la IP y el dominio de envío en las principales blacklists: un bloqueo suele verse ahí antes de pesar en tus estadísticas.
Quedan las spam traps, direcciones sin usuario real que vigilan los organismos antispam para detectar envíos a listas mal mantenidas. Se cuelan en las listas antiguas o importadas. El remedio es la higiene de la lista: retirar los contactos inactivos y verificar las direcciones antes del envío para descartar las que rebotarían. Pasa una muestra de tu base por una verificación antes del próximo envío grande: el porcentaje de direcciones inválidas aparece enseguida.
La checklist técnica antes de pasar a producción
- SPF publicado, una sola línea TXT, 10 resoluciones DNS como máximo.
- DKIM activo en el dominio de envío, con la clave probada.
- DMARC en p=none con una dirección rua, y endurecimiento tras leer los informes.
- Subdominio aparte para los transaccionales, con PTR y DNS directo coherentes.
- IP dedicada solo si el volumen es regular, con un plan de aumento progresivo.
- Envío cifrado con TLS desde el servidor o la plataforma.
- Ningún contenido promocional en los correos puramente transaccionales, que quedan fuera de la obligación de baja con un clic.
- Tasa de spam por debajo del 0,10 % en Postmaster Tools, con una alerta interna al 0,20 % (consejo práctico).
- Rebotes duros eliminados a la primera aparición.
- Control semanal de las blacklists y de las notificaciones de no entrega.
- Direcciones verificadas al importar una lista y limpieza de los inactivos.
- Prueba de un envío real con seed testing o con Mail-tester antes de cada cambio de herramienta de envío.
Preguntas frecuentes
Mi volumen hacia Gmail es bajo: ¿me afecta?
Sí, en los requisitos básicos. Por debajo de 5000 mensajes al día, DMARC no es obligatorio; el resto de exigencias se mantiene: autenticación SPF o DKIM, TLS, PTR y tasa de spam por debajo del 0,3 %. El listón del 0,10 % se aplica a todos.
¿Cuánto se tarda en recuperar una reputación dañada?
Google indica que las mejoras en la tasa de spam tardan en reflejarse en la clasificación. Cuenta con varias semanas, como estimación. Un remitente masivo vuelve a ser elegible para las medidas de mitigación tras 7 días consecutivos por debajo del 0,3 % (regla vigente desde junio de 2024).
¿Una puntuación de 10/10 en Mail-tester garantiza llegar a la bandeja de entrada?
No. Mail-tester puntúa un mensaje sobre 10: esta prueba puntual comprueba la autenticación y el contenido de un único envío, además de consultar la IP en las listas negras. No dice nada del historial de envío ni del comportamiento de los destinatarios en Gmail. Complétala con el seguimiento en Postmaster Tools.
¿Puedo enviar mis transaccionales desde un buzón de Gmail?
No es lo adecuado. Un buzón de correo no tiene API de envío y no devuelve los rebotes de forma aprovechable. Usa una plataforma de envío que firme con DKIM en tu dominio.
¿Cómo comprobar tu configuración en dos minutos?
Para revisar tu propia configuración, envía un mensaje de prueba a una dirección de Gmail, abre el menú «Mostrar original» y comprueba que SPF, DKIM y DMARC aparecen como PASS. La guía de entregabilidad del email amplía esta checklist con el inbox placement.
