El doble opt-in (DOI) es una suscripción en dos tiempos: la dirección escrita en un formulario solo entra en la lista tras un clic en el enlace de un email de confirmación. Ni el RGPD ni la CNIL lo imponen. Esta guía da la regla jurídica exacta, los campos que conviene archivar como prueba, un modelo de email listo para copiar y el método para migrar una base existente, con un árbol de decisión que enfrenta el DOI al opt-in simple y añade después la verificación de direcciones.
La guía cubre también la configuración en Brevo, Mailchimp, HubSpot y ActiveCampaign.
El recorrido de suscripción, desde el formulario hasta la lista activa
El DOI se desarrolla en cinco etapas. La persona solo ve tres.
- El visitante escribe su dirección en un formulario y marca una casilla de consentimiento vacía por defecto.
- La herramienta de emailing crea el contacto con el estado «pendiente» (pending) y no le asocia ninguna campaña.
- Un email de confirmación sale en el minuto siguiente, con un enlace de un solo uso.
- El clic activa el contacto. La herramienta registra la marca de tiempo y la IP del clic.
- Se muestra una página de agradecimiento, seguida del email de bienvenida.
Estado pendiente y caducidad del enlace
Un contacto «pendiente» no recibe ninguna campaña, ni siquiera la newsletter del mismo día. El enlace de confirmación tiene un plazo de validez que cada herramienta fija a su manera: lee su documentación antes de prometer un plazo (el modelo de más abajo anuncia 48 horas, ajústalo). Pasado ese plazo, el visitante debe volver a pasar por el formulario. Una duración demasiado corta hace perder a quienes abren sus emails por la noche o al día siguiente.
Opt-in simple y opt-out: los otros dos modos
El opt-in simple (single opt-in, SOI) valida la suscripción en cuanto se envía el formulario. No se manda ningún email de confirmación. El visitante recibe su primera campaña sin ningún gesto más. El consentimiento existe de verdad. Nada demuestra, en cambio, que la dirección pertenezca a quien la escribió.
El opt-out invierte la lógica: la empresa escribe mientras el destinatario no haya dicho que no. La CNIL resume el opt-in en una frase («si no ha dicho sí, es no»), lo que excluye el opt-out en la prospección dirigida al gran público. Cada mensaje debe incluir un enlace de baja que funcione. La salida de la lista debe ser inmediata, sin reconfirmación.
Comparativa: confirmación, antibots y prueba
Los dos métodos se distinguen en seis criterios, desde el volumen de inscritos hasta la prueba en caso de inspección.
| Criterio | Opt-in simple | Doble opt-in |
|---|---|---|
| Inscritos conservados | 100 % de los envíos válidos | Solo quienes hacen clic (39 % en Mailchimp en 2017) |
| Erratas (gmial.com) | Entran en la lista | Bloqueadas: el email de confirmación no llega a ninguna parte |
| Robots que rellenan el formulario | Entran en la lista | Se quedan «pendientes» |
| Prueba del consentimiento | Casilla marcada y registro del formulario | Casilla marcada y clic con fecha y hora desde el buzón del suscriptor |
| Fricción para el suscriptor | Un gesto | Un gesto, más un email que abrir |
| Riesgo de rebote al inscribirse | Alto sin control de la dirección | Bajo al inscribirse, vuelve con el tiempo |
La última fila necesita un matiz: el riesgo vuelve más tarde, como explica la sección sobre los rebotes.
Tasa de confirmación esperada
Solo circula una estadística rastreable: 39 % de confirmación, es decir, 61 % de abandono, anunciado por John Foreman, Chief Data Scientist de Mailchimp, en octubre de 2017 para justificar que el single opt-in pasara a ser el modo por defecto el 31 de octubre de 2017 (los formularios existentes de los clientes con sede en la UE siguieron en DOI, por temor al RGPD). Esta cifra procede de una reproducción del blog alemán emailmarketingtipps.de, porque la página original de Mailchimp ha desaparecido: léela como un orden de magnitud de 2017, sin convertirla en una referencia actual. Los rangos del 50 al 80 % que circulan en blogs de proveedores no se apoyan en ningún estudio publicado.
Con 10 000 inscripciones al mes, una tasa del 39 % deja 3900 contactos activos. Mide la tuya: confirmaciones divididas entre inscripciones en 30 días, por fuente de tráfico, porque la tasa varía de un formulario a otro.
Antibots: DOI, CAPTCHA y honeypot
Un CAPTCHA (reCAPTCHA de Google, hCaptcha, Cloudflare Turnstile) o un campo trampa (honeypot) detiene al robot antes del envío del email. El DOI lo detiene después: el robot se queda «pendiente». Solo el DOI cuesta un envío por robot, lo que pesa en los grandes volúmenes. Ambos se pueden combinar sin dificultad.
Lo que dicen el RGPD, la CNIL y el CPCE
La regla cabe en una línea: un acto positivo de la persona, más la capacidad de demostrarlo. Ningún texto consultado prescribe la confirmación por email.
Artículo 7 y considerando 32
El artículo 7 del RGPD (Reglamento (UE) 2016/679, aplicable desde el 25 de mayo de 2018) obliga al responsable del tratamiento a «poder demostrar que el interesado consintió». El considerando 32 define el consentimiento como un acto afirmativo claro y descarta el silencio, las casillas premarcadas y la inacción. El DOI cumple ambas exigencias sin imponerlas: el clic es un acto positivo y deja huella.
En su página sobre la recogida del consentimiento (publicada el 3 de agosto de 2018, actualizada en 2026), la CNIL añade que el consentimiento debe ser libre, específico, informado e inequívoco. El responsable debe además poder demostrarlo en cualquier momento, por ejemplo mediante un registro de consentimientos. Para la prospección por email exige una casilla específica, no premarcada: aceptar las condiciones generales no basta. Ninguna de las páginas de la CNIL consultadas menciona el doble opt-in.
Prospección por email: el artículo L34-5 del CPCE
En Francia, el artículo L34-5 del Código de Correos y Comunicaciones Electrónicas (CPCE) establece, desde la ley para la confianza en la economía digital del 21 de junio de 2004, el principio del consentimiento previo para la prospección por correo electrónico dirigida a personas físicas. El marco RGPD del email marketing detalla sus consecuencias para tus campañas. La directiva europea 2002/58/CE (ePrivacy) está en el origen de esta regla.
Prueba de consentimiento: los campos que hay que archivar
Un clic de confirmación solo vale si se puede recuperar. Conserva para cada contacto:
- la fecha y la hora de la introducción de la dirección, y las del clic de confirmación;
- la dirección IP asociada a cada una de las dos etapas;
- el texto exacto de la casilla de consentimiento y la versión del formulario mostrada;
- la URL de la página de suscripción y la fuente de tráfico;
- el identificador del email de confirmación enviado.
Brevo precisa en su ayuda que el RGPD no exige el DOI, pero que ayuda a probar la suscripción gracias a los registros de eventos y a los emails transaccionales. Comprueba que tu herramienta exporta esos campos: un registro que queda encerrado en la plataforma desaparece con tu suscripción.
Casos en que no se exige el consentimiento previo
La página de la CNIL sobre la prospección por correo electrónico (junio de 2026) describe dos excepciones principales. La primera: escribes a un cliente para productos o servicios análogos a los que ya compró, después de haberle ofrecido desde la recogida de datos la posibilidad de oponerse (el «soft opt-in» de los anglosajones). La segunda: la prospección no comercial. En B2B, la CNIL admite la prospección sobre la base del interés legítimo: el envío a una dirección profesional es posible si el mensaje guarda relación con la función de la persona y si esta fue informada y pudo negarse desde la recogida. Para las direcciones genéricas de personas jurídicas (info@, contact@, commande@), la CNIL precisa que no están sujetas a estos principios. En todos estos casos, el DOI sigue siendo facultativo.
El caso alemán
El 10 de febrero de 2011, en su sentencia «Double-Opt-in-Verfahren» (I ZR 164/09), el Tribunal Supremo Federal alemán (BGH) consideró que, tras recibir la confirmación, cabe admitir que la solicitud procede realmente de la dirección indicada. El consentimiento queda entonces suficientemente documentado. El texto de la sentencia precisa además que el anunciante debe conservar la declaración y poder imprimirla.
Un límite de peso: la sentencia se basa en el derecho alemán de competencia desleal (UWG) y no en el RGPD. El DOI por email no prueba un acuerdo para llamadas telefónicas. Ninguna ley alemana lo impone. Es la carga de la prueba, que recae en el anunciante, lo que lo vuelve indispensable en la práctica para quien envía hacia Alemania.
Configurar la confirmación en tu herramienta
El ajuste cambia de nivel de una herramienta a otra: unas lo activan para toda la audiencia, otras formulario por formulario. Los nombres de los menús evolucionan, búscalos en la sección de formularios o de audiencia de tu cuenta.
| Herramienta | Nivel del ajuste | Qué comprobar antes de activarlo |
|---|---|---|
| Brevo | Formulario de suscripción | Plantilla del email de confirmación y lista de destino de los contactos confirmados |
| Mailchimp | Audiencia (ajustes de la audiencia) | Desde octubre de 2017, el single opt-in es el modo por defecto de los formularios nuevos (los formularios existentes de los clientes de la UE se quedaron en DOI) |
| HubSpot | Ajustes del email (toda la cuenta); por formulario con Marketing Hub Professional o Enterprise | Plantilla del email de confirmación: HubSpot no envía ningún marketing email al contacto mientras no haya confirmado |
| ActiveCampaign | Formulario de suscripción (acción «suscribir a una lista») | El DOI viene activado por defecto: controla el mensaje mostrado y la plantilla del email de confirmación |
Redactar el email de confirmación
El email de confirmación es en sí mismo un mensaje delicado: si la suscripción no está demostrada, el OLG München lo trató como publicidad (véanse las preguntas frecuentes). Mantenlo estrictamente transaccional: un asunto claro, una frase de contexto, un botón y ninguna oferta. Aquí tienes un modelo.
Asunto: Confirma tu suscripción a la newsletter de [Marca]
Hola:
Acabas de solicitar la newsletter de [Marca] con la dirección [dirección]. Haz clic en el botón de abajo para confirmarlo. El enlace es válido durante 48 horas.
[Botón: Confirmar mi suscripción]
Si no has hecho esta solicitud, ignora este mensaje: no se registrará ninguna suscripción.
[Marca], [dirección postal], [dirección de respuesta vigilada]
Envíalo desde una dirección que reciba respuestas. Prohibir la dirección noreply permite que un suscriptor dudoso te escriba en lugar de marcar el mensaje como spam.
Página de agradecimiento, email de bienvenida y recordatorio
La página de agradecimiento tras el clic confirma la suscripción, anuncia la frecuencia de envío y recuerda cómo darse de baja. El email de bienvenida sale a continuación y cumple el primer compromiso anunciado (la guía prometida, el código de descuento). Es la primera señal positiva dirigida a los proveedores de correo.
El recordatorio: un solo aviso a las 24 horas para los contactos «pendientes» y eliminación pasados siete días. Un segundo aviso aumenta el riesgo de queja por spam de una persona que no ha confirmado nada.
Migrar una base en opt-in simple
Pasar al DOI no vuelve válida con efecto retroactivo una base mal documentada. Clasifica primero: los contactos de los que tienes la fecha de recogida y la fuente siguen activos, siempre que recuperes también el texto exacto del consentimiento. Para los demás, envía una solicitud de reconfirmación a una muestra de 1000 contactos, mide la tasa de clic y amplía por oleadas de 5000 a 10 000 contactos. Antes de ese envío, limpia tu lista de emails: las direcciones muertas nunca confirmarán e inflan artificialmente el abandono.
Una dirección confirmada también puede acabar en rebote
El clic prueba que alguien controla el buzón en el instante del clic. No dice nada del estado de ese buzón seis meses después. Ahí es donde se degrada la entregabilidad de una lista «limpia».
Varios casos atraviesan el doble opt-in sin problema. Una dirección profesional desaparece cuando su titular deja la empresa: el buzón devuelve entonces un NDR (Non-Delivery Report) con el código SMTP 550 5.1.1 («usuario desconocido»), es decir, un hard bounce definitivo. Un dominio en catch-all acepta todos los mensajes, incluso los dirigidos a buzones inexistentes: el clic puede venir de otra herramienta y no de una persona. Algunos operadores pueden reciclar después una dirección abandonada como trampa de spam. Un envío a una trampa perjudica la sender reputation.
Cada caso se puede medir: vigila la tasa de hard bounce en tus informes y la tasa de quejas por spam en Google Postmaster Tools, en el lado de Gmail.
El control de direcciones interviene en dos momentos distintos. Al introducir la dirección, una verificación por API comprueba el dominio (DNS, MX), prueba el buzón mediante una conexión SMTP y propone una corrección si hay una errata, antes de enviar el enlace de confirmación: ningún email sale hacia «gmial.com». Según la documentación de la API, una verificación SMTP completa dura unos 3 segundos: prevé un timeout de 20 segundos y trata cualquier superación como un resultado «unknown». Antes de una campaña, la verificación de la base señala las direcciones no válidas y los catch-all de riesgo. Este control no garantiza nada para el futuro: un buzón válido hoy puede desaparecer mañana, de ahí el interés de repetirlo antes de las grandes campañas en lugar de hacerlo una sola vez.
Árbol de decisión: DOI, opt-in simple o verificación
- Envías hacia Alemania o te falta prueba de tus suscripciones: DOI, con los campos de prueba de la sección anterior.
- Tu formulario es un lead magnet B2B y cada lead alimenta una secuencia comercial: opt-in simple, más verificación de la dirección al introducirla, porque perder hasta un 61 % de los inscritos (la cifra de Mailchimp de 2017) puede costar más que el riesgo de una errata.
- Tu formulario está abierto al gran público y los robots ya lo atacan: DOI o CAPTCHA, y después verificación antes de la primera campaña.
- Importas una base comprada o recibida de un socio: ninguna de las tres opciones sustituye a un consentimiento obtenido en origen. No la importes.
- Escribes a tus clientes para productos análogos: consentimiento no exigido dentro de la excepción, DOI facultativo, verificación antes del envío.
Preguntas frecuentes sobre el doble opt-in
¿El email de confirmación cuenta como prospección? En Alemania, el OLG München (27 de septiembre de 2012, 29 U 1682/12) lo equiparó a publicidad simple cuando se envía sin consentimiento previo. Limítalo a una solicitud de confirmación, sin contenido promocional. Escribe una sola vez.
¿El DOI equivale a consentimiento para llamadas y SMS? No para el teléfono: el BGH juzgó en 2011 que la confirmación por email no prueba un acuerdo para llamadas. Recoge un consentimiento distinto para cada canal.
¿Cuánto tiempo hay que conservar la prueba? La CNIL no cifra ninguna duración en sus páginas sobre el consentimiento. Consérvala mientras la persona siga suscrita y el tiempo necesario para responder a una impugnación, y pide después a tu delegado de protección de datos que valide el plazo.
¿Cómo evitar las falsas confirmaciones? Algunos filtros de seguridad de empresa abren los enlaces de los emails antes que el destinatario y validan un contacto sin que lo sepa. Haz que se pulse un botón en la página de llegada antes de activar el contacto, en lugar de activarlo con la simple carga del enlace.
¿Un formulario de lead magnet B2B exige el DOI? No: basta una casilla no premarcada o la excepción B2B descrita más arriba. El DOI sirve ahí para fiabilizar la dirección, y un control de la dirección al introducirla responde a ello con menos coste.
