- Su correo electrónico no está autenticado. El servidor receptor no puede confirmar que el mensaje proceda realmente de su dominio. Por lo general, falta un registro, nunca se ha añadido una nueva herramienta (CRM, facturación, boletín informativo, formulario web, servicio de asistencia técnica o incluso un escáner), o bien el registro SPF ha superado su límite y ha dejado de funcionar de forma silenciosa para todos los mensajes.
- El mensaje parece spam. Acortadores de enlaces, muchas imágenes y pocas palabras, mayúsculas, una firma con seis logotipos, archivos adjuntos que nadie ha solicitado o un asunto redactado como si fuera un anuncio. Los filtros puntúan cada uno de estos elementos.
- La reputación de su dominio se ha visto afectada. Un buzón de correo se vio comprometido y envió spam durante un fin de semana; alguien envió una actualización a 400 destinatarios desde Outlook con todos en copia oculta (CC); o su correo se envía a través de un servidor compartido con un «vecino problemático».
- El lado del destinatario. Una regla, un buzón lleno, un reenvío a una dirección personal o un filtro que, en algún momento, identificó su dirección como correo no deseado. Es menos habitual de lo que la gente cree, y solo el destinatario puede solucionarlo.
Por qué el correo electrónico de su empresa acaba en la carpeta de spam y cómo solucionarlo de una vez por todas
Las cuatro razones por las que el correo electrónico empresarial acaba en la carpeta de correo no deseado, qué hacen realmente SPF, DKIM y DMARC, qué exigen ahora Gmail y Outlook a todos los remitentes, y una comprobación que puede realizar en 20 minutos.
8 minutos de lecturaActualizado
La respuesta corta
Nueve de cada diez veces, la causa es la autenticación: su dominio no indica a los servidores de correo qué servicios pueden enviar mensajes en su nombre, o se ha añadido una nueva herramienta sin actualizar dichos registros. Gmail y Outlook exigen ahora registros SPF, DKIM y DMARC de todos los remitentes, y envían discretamente los mensajes a la carpeta de spam cuando algo falla. Corrija los registros, active DKIM en todas las herramientas que envíen mensajes en nombre de su dominio, configure DMARC en modo de supervisión, y la mayoría de los problemas de entrega desaparecerán en uno o dos días.
Cuatro razones, por orden de probabilidad
¿Qué hacen realmente SPF, DKIM y DMARC?
Los tres son pequeños registros de texto en el DNS de su dominio. Nadie en su empresa los ve, pero todos los servidores de correo a los que envía mensajes los comprueban.
| Registro | En pocas palabras | ¿Qué problemas surgirían sin ello? |
|---|---|---|
| SPF | Una lista de los servicios autorizados para enviar correo electrónico en nombre de su dominio, por ejemplo, Microsoft 365 y su herramienta de facturación. | El correo procedente de un servicio que no figure en la lista no se procesa. Una lista con más de diez consultas da error en todos los casos. |
| DKIM | Una firma digital añadida a cada mensaje, que acredita que procede de su dominio y que no ha sido alterado durante el trayecto. | Los mensajes llegan sin firmar y no se distinguen en nada de una falsificación. |
| DMARC | Sus instrucciones para los destinatarios: qué hacer cuando un mensaje que afirme proceder de usted no supere las comprobaciones anteriores y dónde enviar los informes. | Los destinatarios lo adivinan, y cualquiera puede enviar correos en su nombre sin que usted lo sepa. |
Hay un detalle importante: la coherencia. El dominio que aparece en la dirección del remitente que ven los destinatarios debe coincidir con el dominio que ha superado las verificaciones de SPF o DKIM. Una herramienta de boletines informativos que envía mensajes desde su dominio, pero que firma con su propio dominio, supera la verificación de DKIM para sí misma, pero sigue fallando en la verificación de DMARC en su caso.
Requisitos actuales de GmailOutlook y Yahoo
Desde 2024, los principales proveedores de correo electrónico publican normas en lugar de basarse en conjeturas, y a finales de 2025 Google intensificó la aplicación de las mismas con un mayor número de rechazos. Sus requisitos publicados, a fecha de octubre de 2026:
| Requisitos | Gmail (todos los remitentes) | Outlook.com y Yahoo |
|---|---|---|
| SPF y DKIM | Ambas configuraciones | Ambos están configurados para cualquier persona que envíe unos 5.000 mensajes al día o más; se espera encarecidamente que el resto de usuarios también lo haga. |
| Registro DMARC | Publicado, al menos p=ninguno | Publicado, al menos p=ninguno, en consonancia con SPF o DKIM |
| Por ámbito de aplicación | Sí, con SPF o DKIM | Sí |
| DNS inverso y TLS | Requisitos | Previsto |
| Índice de reclamaciones por spam | Por debajo del 0,3 %, con un objetivo del 0,1 | Se mantiene en niveles bajos; Microsoft vigila de cerca su reputación |
| Darse de baja con un solo clic | Correos de marketing procedentes de remitentes masivos | Correos de marketing procedentes de remitentes masivos |
Estas normas se aplican oficialmente al correo enviado a direcciones personales de Gmail, Outlook.com y Yahoo. En la práctica, tanto Microsoft 365 como Google Workspace aplican los mismos controles a los buzones de correo empresariales, por lo que la solución es la misma independientemente del servicio que utilicen sus clientes.
La comprobación de 20 minutos
- Enumere todo lo que se envía desde su dominio. Microsoft 365 o Google Workspace, el CRM, las herramientas de facturación y nóminas, la plataforma de boletines informativos, el formulario de contacto de la página web, el servicio de asistencia técnica, las herramientas de calendario y reservas, y esa impresora que escanea y envía por correo electrónico. La mayoría de los dominios cuentan con entre cinco y ocho.
- Consulte su registro SPF. Debe haber exactamente uno. Debe incluir todos los servicios de la lista, no superar las diez consultas DNS y terminar en «-all» o «~all». Un segundo registro SPF, o una undécima consulta, hace que se incumplan todos los requisitos.
- Active el DKIM en todas partes. En Microsoft 365, se encuentra en el portal de Defender, en la sección «Configuración de autenticación de correo electrónico»; en Google Workspace, en «Aplicaciones», «Google Workspace», «Gmail», «Autenticar correo electrónico». Cada herramienta de terceros cuenta con su propia configuración de DKIM, que le proporciona dos o tres registros DNS que debe añadir.
- Publique DMARC» a nivel de supervisión. Un registro con p=none y una dirección de notificación no cambia nada por el momento, pero en cuestión de días los informes mostrarán todos los servicios que envían mensajes en su nombre, incluidos aquellos que haya olvidado y cualquier persona que se haga pasar por usted.
- Envíe una prueba y consulte el resultado. Envíe un correo electrónico a una cuenta personal de Gmail, abra el mensaje, seleccione «Mostrar original» y busque «SPF: APROBADO», «DKIM: APROBADO» y «DMARC: APROBADO». Outlook.com muestra la misma información en los encabezados del mensaje. Si aparece un «FALLO», se le indicará exactamente qué registro debe corregir.
- Refuerce la configuración de DMARC por etapas. Tras dos a cuatro semanas de informes sin incidencias, pase a p=cuarentena y, a continuación, a p=rechazo. En la fase de rechazo, nadie podrá enviar correo en su nombre y los destinatarios confiarán más en sus mensajes.
Problemas que parecen relacionados con la autenticación, pero que no lo son
- Un buzón de correo comprometido. Si el envío de mensajes se ha interrumpido de la noche a la mañana, compruebe, antes que nada, los registros de inicio de sesión y las reglas de la bandeja de entrada de las cuentas afectadas. Los atacantes añaden una regla que oculta las respuestas y envían spam desde la cuenta real.
- Correo masivo desde un buzón normal. Outlook y Gmail están diseñados para conversaciones, no para campañas. Las actualizaciones a cientos de contactos deben realizarse mediante una herramienta adecuada, enviadas desde un subdominio como news.yourcompany.com, de modo que cualquier contratiempo allí no afecte a su dominio principal.
- Firmas extensas y acortadores de enlaces. Menos imágenes, sin enlaces acortados y un texto que parezca escrito por una persona.
- Un dominio completamente nuevo. Los dominios sin historial se tratan con recelo durante las primeras semanas. Comience con volúmenes reducidos y conversaciones reales.
- Listas compradas o recopiladas. Las tasas de reclamaciones superiores al 0,3 % le excluyen de la lista de clientes recomendados de los proveedores durante una semana, y ninguna corrección de registros puede remediarlo.
Manténgalo en orden
- Añada todas las nuevas herramientas que envíen correo electrónico a SPF y DKIM el mismo día en que se configuren
- Lea los informes de DMARC mensualmente o pida a alguien que los lea por usted
- Mantenga el correo de marketing y el correo transaccional en sus propios subdominios
- Vigile la tasa de reclamaciones en Google Postmaster Tools y en las herramientas para remitentes de Microsoft
- Compruebe quién puede crear reglas de bandeja de entrada y reenvíos, ya que esas son las primeras cosas que modifica un atacante
Preguntas frecuentes
Lo que nos preguntan
Respuestas breves a lo que más nos preguntan los fundadores y los responsables de finanzas.
Pregúntenos cualquier otra cosaNormalmente se trata de una de estas cuatro situaciones: una nueva herramienta ha comenzado a enviar mensajes desde su dominio sin haberse añadido al SPF, el registro SPF ha superado el límite de diez consultas, se ha visto comprometida una bandeja de entrada o un proveedor ha endurecido sus medidas de control, como hizo Google a finales de 2025. La comprobación de 20 minutos mencionada anteriormente determina cuál de ellas es la causa.
Sí. Google espera ahora un registro DMARC de todos los remitentes que envíen mensajes a direcciones de Gmail, y Outlook.com lo espera de los remitentes de mayor volumen. Un registro con p=none no cambia nada ni supone ningún coste, y es la única forma de saber quién se hace pasar por usted.
No en p=none. Los problemas solo surgen si se pasa directamente a la cuarentena o se rechaza antes de que todos los servicios legítimos hayan sido aprobados, por lo que primero analizamos los informes durante unas semanas.
Sí. Los registros se encuentran en el DNS de su dominio y se aplican a cualquier plataforma y herramienta que utilice para enviar su correo. Lo único que varía es el lugar donde se activa el DKIM.
Esto se debe a que Microsoft 365 figura en su SPF y DKIM, mientras que el CRM no, o bien el CRM firma con su propio dominio en lugar del suyo. Cada herramienta dispone de una configuración de DKIM que soluciona este problema.
Los registros pueden corregirse en un día para la mayoría de los dominios. Aumentar gradualmente el nivel de DMARC hasta alcanzar el rechazo seguro requiere unas semanas de análisis de informes, y una reputación dañada se recupera tras varias semanas de envíos correctos.
Cómo le ayuda SF3 Technologies
Detectamos todos los servicios que envían mensajes desde su dominio, corregimos el SPF, activamos el DKIM en Microsoft 365 y en Google Workspace, así como en cada herramienta, publicamos el DMARC y lo configuramos para que rechace los mensajes no autorizados mientras revisamos los informes, de modo que su correo electrónico llegue a su destino y nadie pueda enviar mensajes en su nombre. Los registros permanecen en su DNS y en su inquilino, bajo su control.
Los requisitos para los remitentes son los publicados por Google y Microsoft en octubre de 2026 y están sujetos a cambios con el tiempo. Consulte las directrices actuales para remitentes de cada proveedor antes de basarse en un umbral concreto.