25 de julio de 2026 · Lectura de 9 minutos

¿Por qué mis correos llegan a spam?

Le escribiste a un cliente una cotización y nunca respondió. No fue desinterés: tu correo cayó en spam y ninguno de los dos se enteró. Este artículo explica por qué pasa, y cómo revisarlo tú mismo en tres minutos sin instalar nada.

La mayoría de la gente cree que el spam se decide por lo que dice el mensaje —que si escribiste «gratis», que si pusiste muchos signos de admiración. Eso era verdad hace quince años. Hoy la decisión se toma antes de leer una sola palabra, y se toma sobre tu dominio, no sobre tu texto.

La pregunta que se hace el servidor de Gmail cuando llega tu correo es más simple: «¿este mensaje viene de verdad de quien dice venir?». Si tu dominio no responde esa pregunta, el mensaje entra marcado como sospechoso pase lo que pase.

Lo que cambió en 2024

Durante años, autenticar el correo fue una buena práctica opcional. En febrero de 2024 dejó de serlo. Google y Yahoo empezaron a exigir requisitos mínimos a todo el que les envíe correo, y a rechazar o mandar a spam lo que no los cumpla.

Estos son los requisitos vigentes, según la guía oficial de Google para remitentes de correo:

Los requisitos de Google entraron en vigor el 1 de febrero de 2024 y siguen vigentes. Yahoo publicó exigencias equivalentes en la misma fecha.

Fíjate en el detalle que a casi nadie le cae en cuenta: el umbral de 0,3% no es de spam enviado, es de spam reportado. Si de cada mil personas a las que escribes, tres marcan tu correo como spam, ya estás en el límite. Y en una lista comprada o vieja, tres de mil es poquísimo.

Los tres registros, sin jerga

SPF, DKIM y DMARC suenan a cosa de sistemas, pero son tres líneas de texto que viven en el DNS de tu dominio —el mismo lugar donde está configurado que tuempresa.com apunte a tu página web. No cuestan dinero. Se escriben una vez.

La forma más fácil de entenderlos es pensar en la portería de un edificio:

SPF — la lista de la portería

Es la lista de quiénes están autorizados a enviar correo diciendo que son tú. Si usas Google Workspace, ahí va Google. Si además mandas campañas por Mailchimp o Brevo, también van ellos. Si tu sistema de facturación manda correos, va también.

El portero mira de qué servidor llegó el mensaje, revisa la lista, y si ese servidor no está, la puerta se cierra. El error más común del mundo es contratar una herramienta nueva de correos y olvidar agregarla a esa lista.

DKIM — el sello en el sobre

Es una firma criptográfica que tu servidor le pone a cada mensaje al salir. El servidor que recibe la verifica contra una clave pública que está en tu DNS.

Si la firma cuadra, dos cosas quedan probadas: que el mensaje salió de tu infraestructura y que nadie lo modificó en el camino. Si alguien intercepta el correo y cambia un número de cuenta bancaria, la firma se rompe y se nota.

DMARC — la instrucción y el reporte

SPF y DKIM verifican. DMARC decide qué hacer cuando la verificación falla —y es la parte que casi nadie configura.

Sin DMARC, cada servidor del mundo hace lo que le parezca con un correo que dice venir de tu dominio pero no lo prueba. Algunos lo entregan igual. Con DMARC tú das la orden: no hagas nada, mándalo a spam, o recházalo.

Y trae una segunda función que vale por sí sola: los reportes. DMARC hace que los servidores del mundo te manden un resumen de quién está enviando correo a nombre de tu dominio. Es la única forma de enterarte de que alguien te está suplantando.

Cómo revisar el tuyo en tres minutos

No necesitas herramientas de pago ni saber de DNS. Hay un truco que funciona siempre y es gratis:

1. Manda un correo desde tu dominio (tunombre@tuempresa.com) a una cuenta cualquiera de Gmail. Puede ser tuya.
2. Abre el correo en Gmail, desde el navegador en computador —en la app del celular no aparece la opción.
3. Haz clic en los tres puntos arriba a la derecha del mensaje y elige «Mostrar original».
4. Se abre una pestaña con tres líneas arriba: SPF, DKIM y DMARC. Cada una dice PASS o FAIL.

Lo que estás buscando son tres PASS. Así se leen los resultados:

Los cinco errores que más nos encontramos

Estos cinco explican la enorme mayoría de los casos que revisamos:

• Dos registros SPF en el mismo dominio. Pasa cuando alguien agrega uno nuevo en vez de editar el que ya existía. La norma permite uno solo: con dos, ambos se invalidan y todo falla. Los proveedores se acumulan dentro de la misma línea, no en líneas separadas.
• SPF con demasiadas consultas. El registro no puede generar más de diez búsquedas de DNS. Cada servicio que agregas suma una o varias, así que un dominio con cinco o seis herramientas conectadas se pasa del límite en silencio y empieza a fallar sin que nada haya cambiado.
• Contratar una plataforma de correos y no autorizarla. Mailchimp, Brevo, Klaviyo, el CRM, el sistema de facturación electrónica. Cada uno necesita quedar en tu SPF y tener su DKIM configurado. Si no, sus envíos salen a nombre tuyo sin respaldo.
• Dejar DMARC en modo p=none para siempre. Es el modo de observación: recolecta reportes pero no bloquea nada. Sirve como punto de partida, no como destino. Un DMARC en none protege igual que una alarma desconectada.
• Creer que esto es solo para quien manda correos masivos. Es el error más caro y va aparte, en la siguiente sección.

Los tres modos de DMARC, y en qué orden se pasan

DMARC tiene una sola instrucción que importa: la política. Son tres valores.

El orden importa y no se puede saltar. Si pones p=reject el primer día sin haber revisado los reportes, corres el riesgo de bloquear tu propia facturación electrónica, tus notificaciones o el sistema que le manda las citas a tus clientes. El camino sensato es none durante cuatro a seis semanas, luego quarantine, luego reject, revisando los reportes en cada paso.

Esto no es solo para quien hace email marketing

Aquí está la parte que convierte esto de un tema de entregabilidad en un tema de riesgo del negocio.

Un dominio sin DMARC en modo de rechazo es un dominio que cualquiera puede usar. No hace falta acceso a tu correo, ni a tu servidor, ni a nada tuyo: se manda un mensaje poniendo tu dirección en el remitente y listo. Sin DMARC, nada le dice al servidor que lo reciba que eso debe rechazarse.

Es exactamente el mecanismo detrás de dos fraudes que le pasan a empresas pequeñas todo el tiempo:

• Un correo «de contabilidad» que le avisa a un cliente que cambió el número de cuenta para el pago de una factura.
• Un correo «del gerente» que le pide a alguien del equipo una transferencia urgente.

Los dos llegan con tu dominio real en el remitente, que es lo que los hace creíbles. Y cuando ocurre, el daño no es que perdiste un correo: es que un cliente perdió plata confiando en tu nombre.

Por eso el argumento de «yo no mando correos masivos» no aplica. DMARC no protege tus envíos. Protege tu nombre de los envíos que tú no hiciste.

El orden en que se arregla

Si al revisar te salió algo en FAIL, este es el orden que evita romper cosas:

1. Inventaría quién manda correo a nombre tuyo. Correo corporativo, plataforma de campañas, CRM, facturación electrónica, formularios del sitio, la tienda online. Casi siempre son más de los que uno recuerda.
2. Arregla SPF primero. Un solo registro, con todos los proveedores adentro, sin pasarse de las diez consultas.
3. Activa DKIM en cada plataforma. Todas las serias lo ofrecen y dan las instrucciones; es pegar un par de registros en el DNS.
4. Publica DMARC en p=none con una dirección donde recibir los reportes.
5. Espera y lee los reportes. Cuatro a seis semanas. Aquí es donde descubres el servicio que llevaba dos años enviando mal.
6. Sube a quarantine, luego a reject. Sin afanes y verificando en cada escalón.

El paso 5 es el que la gente se salta, y es el que hace que todo lo demás funcione. Los reportes DMARC llegan en un formato XML incómodo de leer a mano; hay servicios gratuitos que los traducen a un panel entendible, y vale la pena usar uno.

Si quieres profundizar en la especificación, DMARC está documentado públicamente en el RFC 7489, que es la norma técnica que siguen todos los proveedores de correo.

Cómo saber si esto te está costando clientes

Lo incómodo de este problema es que es silencioso. No hay error, no hay rebote, no hay aviso. Simplemente tus correos aparecen menos, y tú lo interpretas como que el mercado está lento.

Tres señales de que vale la pena revisar hoy:

• Clientes que te dicen «no me llegó» y el correo sí salió.
• Una caída en respuestas a cotizaciones sin cambio en el volumen enviado.
• Cambiaste de proveedor de correo, de hosting o de plataforma de campañas en el último año y nadie tocó el DNS.

Cualquiera de las tres justifica los tres minutos de la prueba de «Mostrar original».