Una dirección puede cumplir todas las reglas de sintaxis y no recibir nunca un mensaje. El formato no dice nada sobre la existencia del buzón. Un correo electrónico es válido cuando supera tres controles sucesivos: un formato conforme a la RFC 5322, un dominio con registro MX que acepta correo y un buzón que existe de verdad en el proveedor. Los dos últimos controles protegen del hard bounce y solo el último detecta un buzón eliminado en un dominio válido. Ninguna prueba lo garantiza al 100 %.
Abajo van las reglas de formato, cinco métodos de verificación comparados y los límites del veredicto de una herramienta. Para saber por qué importa la validez de las direcciones de correo electrónico a quien envía, hay un artículo aparte.
Tres niveles de control para tres tipos de error
Cada nivel atrapa una familia de errores que los otros dejan pasar.
- Formato: juan.perez@@ejemplo.com o juan perez@ejemplo.com fallan aquí. Es el error de escritura más habitual.
- Dominio: juan@ejemplo-cerrado.es tiene un formato impecable, pero el dominio ya no existe o no recibe correo.
- Buzón: maria.duran@empresa.es pasa los dos primeros controles aunque la empleada dejó la empresa y su cuenta se eliminó.
El tercer nivel es el que no ven ni una expresión regular ni una consulta DNS.
Reglas de formato de la RFC 5322
La RFC 5322 (octubre de 2008) describe la estructura de una dirección, incluida la forma «dot-atom» de su sección 3.2.3. La RFC 5321 (octubre de 2008) fija las longitudes máximas en la sección 4.5.3.1: 64 octetos para la parte local (antes de la @), 255 para el dominio y 256 para la ruta completa entre corchetes angulares, así que quedan 254 caracteres para la dirección en sí, según la especificación SMTP publicada por el RFC Editor. A mano o en un formulario, se aplican estas reglas.
- Una sola @, que separa la parte local del dominio. La dirección juan@@ejemplo.com tiene dos y falla.
- Parte local: letras, cifras y los símbolos ! # $ % & ‘ * + – / = ? ^ _ ` { | } ~. El punto se admite si no abre ni cierra la parte local y nunca aparece duplicado.
- El signo + es válido: nombre+boletin@ejemplo.com existe y funciona. Un formulario que lo rechaza descarta direcciones correctas.
- Un subdominio es válido: nombre@mail.ejemplo.com.
- Una dirección simple no admite espacios ni paréntesis.
La sintaxis y estructura de una dirección según la RFC tiene su propio artículo. Una dirección con la sintaxis correcta sigue siendo una hipótesis: no demuestra nada sobre el servidor.
Cinco métodos de comprobación comparados
Ningún método cubre los tres niveles por sí solo.
| Método | Nivel que controla | Qué detecta | Qué no detecta |
|---|---|---|---|
| Sintaxis (RFC 5322) | Formato | @ ausente, espacio, carácter prohibido, punto al final de la parte local | Dominio inexistente, buzón ausente, errata verosímil (gmial.com) |
| Consulta DNS de los MX | Dominio | Dominio no registrado, dominio sin servidor de recepción | Buzón eliminado, dirección trampa, catch-all |
| Diálogo SMTP (EHLO, MAIL FROM, RCPT TO) sin envío | Buzón | Buzón rechazado por el servidor (código 550 5.1.1), servidor inaccesible | Catch-all, servidores que responden 250 y rechazan más tarde, dirección trampa |
| Correo de confirmación (doble opt-in) | Buzón y consentimiento | Dirección que recibe y que lee su titular | Dirección desechable aún activa, dato escrito por un tercero que hace clic |
| Herramienta de verificación | Los tres, con un veredicto | Combina sintaxis, MX, SMTP y señales como los dominios desechables | Los casos que el servidor enmascara: el resultado sigue siendo una probabilidad |
Comprobación manual, paso a paso
Una comprobación aislada se hace desde un terminal, y el mensaje de prueba queda como último recurso.
- Revisa el formato con las reglas anteriores.
- Consulta los MX: nslookup -type=mx ejemplo.com en Windows 10 u 11 y dig MX ejemplo.com en macOS o Linux. Para gmail.com, la respuesta incluye gmail-smtp-in.l.google.com con prioridad 5: una lista de servidores ordenados por prioridad indica que el dominio recibe correo. Si no hay registro MX, la sección 5.1 de la RFC 5321 prevé recurrir al registro A del dominio, así que un resultado vacío no siempre condena el dominio.
- Habla con el servidor: abre una sesión SMTP en el primer MX, envía EHLO, luego MAIL FROM y después RCPT TO con la dirección que pruebas. Lee el código de respuesta y sal sin escribir ningún mensaje. Los códigos 4xx son rechazos temporales y los 5xx, definitivos. Un 250 (código 2.1.5 de la RFC 3463, publicada en enero de 2003: dirección de destino aceptada) significa que el buzón se acepta. Un 550 5.1.1 (código de estado ampliado de la RFC 3463 para una dirección de destino inexistente) significa buzón no encontrado: Gmail responde entonces «550-5.1.1 The email account that you tried to reach does not exist». El puerto 25 de salida suele estar cerrado en los proveedores de acceso, lo que impide hacer la prueba desde un ordenador doméstico. El protocolo SMTP y sus códigos de respuesta se detallan en otro artículo.
- Envía un mensaje de prueba si tienes un motivo legítimo para escribir a esa persona. Si el buzón no existe, el rebote (NDR) llega en pocos minutos.
Esta rutina no escala. Pasadas unas pocas direcciones, los servicios de validación en línea automatizan los tres controles. También localizan las direcciones desechables.
Cómo leer el veredicto de una herramienta
La mayoría de las herramientas devuelve uno de estos tres veredictos.
- Válida: el servidor aceptó la dirección en el diálogo SMTP. Se puede enviar sin un riesgo especial de hard bounce.
- No válida: formato incorrecto, dominio sin MX ni A o buzón rechazado con un código 5.1.1. El envío produciría un hard bounce, así que retira la dirección.
- De riesgo: la prueba no concluye. Casos típicos: dominio catch-all, servidor que aplaza con un código 4xx (deferral), buzón lleno, dirección desechable.
El veredicto «de riesgo» exige que decidas tú. Una dirección de un formulario reciente merece un doble opt-in. Una dirección de un fichero comprado o con dos años de antigüedad no merece ningún envío.
Límites de las pruebas: catch-all y spam trap
Un dominio catch-all responde 250 a cualquier dirección, incluida asdfghjkl@ejemplo.com. El diálogo SMTP no aporta entonces ningún dato sobre el buzón. Las herramientas clasifican estas direcciones como de riesgo.
Una dirección trampa (spam trap) se comporta como un buzón normal. Acepta el correo y supera todas las pruebas. Son antiguos buzones abandonados y reciclados por un proveedor, o direcciones creadas para cazar a quienes recopilan contactos sin consentimiento. Ni un control DNS ni un diálogo SMTP las distinguen de una dirección real: solo las evita una buena higiene de captación, con doble opt-in y la baja de los contactos inactivos. Enviar a una trampa te expone a una lista negra.
Algunos servidores responden 250 en el diálogo y devuelven un NDR unos minutos después.
Detectar una dirección fraudulenta
Una dirección puede ser válida y maliciosa. Lee el dominio que sigue a la @ hasta el último punto: servicio@banco-ejemplo.com.ru pertenece al dominio .ru, sea cual sea el nombre de banco que lo precede. Una letra cambiada en el dominio (paypa1.com) delata un intento de phishing.
En tu cliente de correo, abre las cabeceras completas del mensaje y compara la dirección que se muestra con la de la cabecera Return-Path. Una diferencia entre ambas es señal de suplantación, que confirman los resultados de SPF, DKIM y DMARC de esas mismas cabeceras.
Bloquear las direcciones malas desde el registro
Impedir que entre una dirección cuesta menos que retirarla después. Una validación en tiempo real en el formulario corrige las erratas evidentes. El doble opt-in confirma que el buzón existe y que su titular lo ha pedido: reduce el número de direcciones no válidas y de falsos suscriptores. Un captcha frena los registros automatizados.
Si ya tienes una base, pasa una muestra por una herramienta de verificación de listas de correos electrónicos antes de la próxima campaña y compara la tasa de hard bounce con la del envío anterior. Las direcciones muertas pesan sobre la entregabilidad: Gmail pide a quienes envían que se mantengan por debajo del 0,3 % de quejas de spam, y Yahoo aplica el mismo tope a los remitentes masivos (directrices de Google, vigentes desde febrero de 2024).
Preguntas frecuentes
¿Se puede verificar una dirección sin enviarle un correo?
Sí. La consulta DNS de los MX controla el dominio. El diálogo SMTP interroga al buzón sin transmitir ningún mensaje. Los catch-all y los servidores que lo aceptan todo limitan la fiabilidad del segundo paso.
¿Una dirección válida está activa por fuerza?
No. Válida significa que el servidor acepta la dirección. Su titular puede llevar meses sin abrir ese buzón. Eso pesa en el engagement, aunque no provoca ningún rebote.
¿Cómo verificar una lista entera?
La comprobación manual cubre unas pocas direcciones. Pasado ese punto, una herramienta automatiza los controles y asigna un estado a cada línea. Prueba antes cinco direcciones cuyo estado real conozcas y compáralo con el veredicto que muestra.
