Cuando los correos de una empresa acaban en spam, lo primero que hay que mirar no es el texto, sino si el correo demuestra que sale de quien dice. Gmail y Yahoo lo exigen desde febrero de 2024, Outlook desde mayo de 2025, y un correo que no lo demuestra tiene muchas papeletas de acabar en la carpeta de spam o de no llegar.
Esa prueba la dan tres registros que se configuran en el dominio: SPF, DKIM y DMARC. Aquí explicamos qué hace cada uno y cómo comprobar los tuyos en diez minutos, sin tocar nada. Lo consultamos entre el 17 y el 24 de octubre de 2026.
Lo que piden Gmail, Yahoo y Outlook
| Requisito | Gmail, todos los remitentes | Gmail, más de 5.000 al día | Outlook, 5.000 o más |
|---|---|---|---|
| Autenticación | SPF o DKIM | SPF y DKIM | SPF y DKIM |
| DMARC | No es obligatorio | Obligatorio, como mínimo con la política p=none | Obligatorio, como mínimo con la política p=none |
| Alineación | No se exige | El dominio del remitente tiene que coincidir con el de SPF o el de DKIM | El dominio del remitente tiene que coincidir con el de SPF o el de DKIM |
| Tasa de spam | Menos del 0,3 % | Menos del 0,3 % | No fija un máximo |
| Baja | No se exige | Con un clic en los correos comerciales, y un enlace visible | No es requisito |
Una empresa pequeña rara vez llega a 5.000 correos al día, pero eso no la deja fuera: SPF o DKIM y la tasa de spam se piden a todos.1 Y a partir de cierto volumen, una campaña de boletines puede cruzar la línea en un solo día.
Qué hace cada registro
- SPFUna lista, publicada en tu dominio, de los servidores que pueden enviar correo en su nombre. El destinatario mira si el servidor que le entrega el correo está en ella.
- DKIMUna firma que el servidor de envío añade a cada mensaje. El destinatario la comprueba con una clave pública que está en tu dominio y sabe si el mensaje se ha cambiado por el camino.
- DMARCUne las dos con la dirección que ve quien lo recibe: pasa si SPF o DKIM pasan y su dominio coincide con el del remitente. Además dice qué hacer con lo que falla y a quién mandar los informes.
Según la ayuda de Google Workspace sobre DMARC.5
DMARC tiene tres políticas: none, que no hace nada con el correo que falla y solo manda un informe; quarantine, que lo manda a spam, y reject, que lo rechaza. Google recomienda empezar por none y endurecerla con el tiempo, y poner siempre la etiqueta rua, que es la dirección a la que llegan los informes, mejor en un buzón aparte.6
Paso 1: mira cómo llega un correo tuyo
Envía un correo desde tu dirección de empresa a una cuenta de Gmail. Ábrelo en el ordenador, pulsa los tres puntos junto a Responder y elige «Mostrar original».7 Arriba verás el resultado de SPF, DKIM y DMARC: lo que hay que ver es PASS en los tres.
En el móvil, en la app de Gmail, toca «Ver detalles» y luego «Ver detalles de seguridad». Si el correo está autenticado, verás «enviado por» y «firmado por» con tu dominio. Un signo de interrogación junto al remitente quiere decir que no lo está.8
Repite la prueba con cada herramienta que envía correo en tu nombre: el programa de boletines, el CRM, el de facturas o la tienda online. Cada una sale por servidores distintos y es el sitio donde más se falla.
Paso 2: mira los registros de tu dominio
La Caja de herramientas de Google tiene una página, Check MX, que revisa los registros de cualquier dominio: la clave DKIM publicada, el SPF con los servidores que autoriza y el registro DMARC.5 Escribe tu dominio y lee lo que marca en rojo.
- Dos registros SPF en el mismo dominio. Pasa al añadir una herramienta nueva y pegar su registro en vez de juntarlo con el que ya había. La norma no lo permite y el resultado es un error permanente: el SPF deja de valer.9
- Demasiadas consultas en el SPF. Cada herramienta añadida con include suma consultas, y la norma pone un límite de 10. Pasado ese número, la comprobación falla.9
- Una herramienta de envío sin autorizar. Si el programa de boletines no está en tu SPF ni firma con DKIM en tu dominio, sus correos no pasan DMARC aunque los de tu buzón sí.5
- Enviar desde una herramienta con una dirección de Gmail como remitente. La herramienta no puede autenticar un dominio que no es tuyo, y Gmail aplica a ese correo una política DMARC de cuarentena: va a spam.1 Los boletines y las facturas tienen que salir con una dirección de tu dominio.
- No tener DMARC. Para quien envía más de 5.000 correos al día a Gmail, o 5.000 o más a Outlook, es obligatorio, y para el resto es la única forma de recibir informes de quién envía en tu nombre.16
Qué no se puede saber
Cuánto pesa cada cosa en el filtro de spam. Gmail y Yahoo publican lo que exigen, pero no cómo decide su filtro, que también mira el contenido y la reputación de quien envía.
Si un correo concreto acabará en spam aunque pase SPF, DKIM y DMARC. Pasar las tres comprobaciones es la condición de partida, no una garantía.
Desde qué día rechaza Outlook el correo que no cumple. Microsoft anunció primero que lo mandaría a spam y después que lo rechazaría, pero no publica la fecha del cambio.
Comprueba tu correo en 10 minutos
- Envía un correo desde tu dirección de empresa a una cuenta de Gmail y abre «Mostrar original»: tienen que salir SPF, DKIM y DMARC en PASS.
- Haz lo mismo con un correo de cada herramienta que envía en tu nombre (boletines, CRM, facturas, tienda online).
- Escribe tu dominio en Check MX, de la Caja de herramientas de Google, y apunta lo que marque como error.
- Si hay dos registros SPF, pide a quien gestiona tu dominio que los junte en uno.
- Si no tienes DMARC, pide que lo pongan con la política p=none y la etiqueta rua apuntando a un buzón aparte. Con unas semanas de informes, decide si endurecerla.
- Si envías boletines, comprueba que cada uno lleva un enlace de baja visible y que la baja funciona con un clic.
Fuentes
- Google, Ayuda de Google Workspace, «Directrices para remitentes de correo electrónico»: requisitos para todos los remitentes y para los que envían más de 5.000 mensajes al día a cuentas de Gmail, en vigor desde el 1 de febrero de 2024, con la tasa de spam por debajo del 0,3 % y la recomendación del 0,1 %. Consultada el 17 de octubre de 2026.
- Yahoo, «Sender Best Practices»: requisitos para todos los remitentes y para remitentes masivos desde febrero de 2024, tasa de spam por debajo del 0,3 % y bajas atendidas en 2 días. Consultada el 17 de octubre de 2026.
- Microsoft, Microsoft Defender for Office 365 Blog, «Strengthening Email Ecosystem: Outlook’s New Requirements for High‐Volume Senders», 2025: para quien envía más de 5.000 correos al día a las cuentas personales de Outlook.com, SPF y DKIM, y DMARC como mínimo con p=none alineado con SPF o DKIM, desde el 5 de mayo de 2025; primero a spam y, según la actualización del mismo anuncio, rechazo. Consultada el 24 de octubre de 2026.
- Microsoft, Soporte, «Fix NDR error 550 5.7.515 in Outlook.com»: remitente de gran volumen es quien envía 5.000 correos o más a los servicios de correo personales de Microsoft con el mismo dominio en la dirección del remitente; el correo que no cumple la autenticación se rechaza con el error 550 5.7.515. Consultada el 24 de octubre de 2026.
- Google, Ayuda de Google Workspace, «Soluciona problemas relacionados con DMARC»: DMARC pasa si pasan SPF o DKIM alineados con el remitente, y Check MX revisa DKIM, SPF y DMARC de un dominio. Consultada el 17 de octubre de 2026.
- Google, Ayuda de Google Workspace, «Configura DMARC»: políticas none, quarantine y reject, empezar por none y endurecerla, y la etiqueta rua para los informes, en un buzón aparte. Consultada el 17 de octubre de 2026.
- Google, Ayuda de Gmail, «Ver los encabezados completos de un correo»: «Mostrar original» en Gmail en el ordenador. Consultada el 17 de octubre de 2026.
- Google, Ayuda de Gmail, «Comprobar si un mensaje de Gmail se ha autenticado»: «enviado por», «firmado por» y el signo de interrogación junto al remitente. Consultada el 17 de octubre de 2026.
- IETF, RFC 7208, «Sender Policy Framework (SPF)», abril de 2014, secciones 3.2 y 4.5 (un dominio no puede tener varios registros SPF; si los tiene, el resultado es permerror) y 4.6.4 (límite de 10 términos que hacen consultas DNS). Consultada el 17 de octubre de 2026.
Si alguna cifra de este artículo cambia o resulta incorrecta, se corrige y se dice en esta misma página.