- Su correo no está autenticado. El servidor receptor no puede confirmar que el mensaje provenga realmente de su dominio. Por lo general, falta un registro, nunca se agregó una nueva herramienta (CRM, facturación, boletín informativo, formulario de sitio web, servicio de asistencia técnica o incluso un escáner), o el registro SPF superó su límite y dejó de funcionar sin previo aviso para todos los mensajes.
- El mensaje parece ser spam. Acortadores de enlaces, muchas imágenes y pocas palabras, letras mayúsculas, una firma con seis logotipos, archivos adjuntos que nadie solicitó o un asunto redactado como un anuncio. Los filtros otorgan una puntuación a cada uno de estos elementos.
- La reputación de su dominio se ha visto afectada. Un buzón de correo se vio comprometido y envió spam durante un fin de semana; alguien envió una actualización a 400 destinatarios desde Outlook con todos en copia oculta (CC); o su correo se envía a través de un servidor compartido con un «vecino problemático».
- El lado del destinatario. Una regla, un buzón lleno, un reenvío a una dirección personal o un filtro que, en algún momento, identificó su dirección como correo no deseado. Es menos común de lo que la gente cree, y solo el destinatario puede solucionarlo.
Por qué el correo electrónico de su empresa termina en la carpeta de spam y cómo solucionarlo de una vez por todas
Las cuatro razones por las que los correos electrónicos de negocios terminan en la carpeta de correo no deseado, qué hacen realmente SPF, DKIM y DMARC, qué exigen ahora Gmail y Outlook a cada remitente, y una verificación que puede realizar en 20 minutos.
Lectura de 8 minutosActualizado
La respuesta corta
En nueve de cada diez casos, la causa es la autenticación: su dominio no está indicando a los servidores de correo qué servicios pueden enviar mensajes en su nombre, o se agregó una nueva herramienta sin actualizar esos registros. Gmail y Outlook ahora exigen registros SPF, DKIM y DMARC de cada remitente, y envían silenciosamente los mensajes a la carpeta de spam cuando algo falla. Corrija los registros, active DKIM en todas las herramientas que envían mensajes en nombre de su dominio, comience a utilizar DMARC en modo de monitoreo, y la mayoría de los problemas de entrega desaparecerán en uno o dos días.
Cuatro razones, en orden de probabilidad
¿Qué hacen realmente SPF, DKIM y DMARC?
Los tres son pequeños registros de texto en el DNS de su dominio. Nadie en su empresa los ve, pero todos los servidores de correo a los que usted envía mensajes los verifican.
| Registro | En palabras sencillas | ¿Qué problemas surgirían sin ello? |
|---|---|---|
| SPF | Una lista de los servicios autorizados para enviar correo electrónico en nombre de su dominio, por ejemplo, Microsoft 365 y su herramienta de facturación. | El correo procedente de un servicio que no figure en la lista no se procesa. Una lista con más de diez consultas falla en todos los casos. |
| DKIM | Una firma digital agregada a cada mensaje, que demuestra que proviene de su dominio y que no fue alterado durante el trayecto. | Los mensajes llegan sin firmar y no se distinguen de una falsificación. |
| DMARC | Sus instrucciones para los destinatarios: qué hacer cuando un mensaje que afirma provenir de usted no supere las verificaciones anteriores y a dónde enviar los reportes. | Los destinatarios lo adivinan, y cualquiera puede enviar correos en su nombre sin que usted se entere. |
Hay un detalle importante: la alineación. El dominio que aparece en la dirección del remitente que ven los destinatarios debe coincidir con el dominio que haya superado las verificaciones de SPF o DKIM. Una herramienta de boletines informativos que envía mensajes desde su dominio, pero que firma con su propio dominio, supera la verificación de DKIM para sí misma, pero sigue fallando en la verificación de DMARC para usted.
Lo que ahora exigen GmailOutlook y Yahoo
Desde 2024, los principales proveedores de correo electrónico publican normas en lugar de basarse en conjeturas, y a finales de 2025 Google intensificó la aplicación de estas normas con un mayor número de rechazos. Sus requisitos publicados, a partir de octubre de 2026:
| Requisitos | Gmail (todos los remitentes) | Outlook.com y Yahoo |
|---|---|---|
| SPF y DKIM | Ambos configurados | Ambos están configurados para cualquier persona que envíe aproximadamente 5,000 mensajes al día o más; se espera encarecidamente que todos los demás lo hagan. |
| Registro DMARC | Publicado, al menos p=ninguno | Publicado, al menos p=ninguno, alineado con SPF o DKIM |
| Por área temática | Sí, con SPF o DKIM | Sí |
| DNS inverso y TLS | Requisitos | Se espera |
| Tasa de quejas por spam | Menos del 0,3 por ciento; el objetivo es el 0,1 | Se mantuvo en niveles bajos; Microsoft vigila de cerca su reputación |
| Cancelar suscripción con un solo clic | Correos de marketing de remitentes masivos | Correos de marketing de remitentes masivos |
Estas reglas abarcan formalmente el correo enviado a direcciones personales de Gmail, Outlook.com y Yahoo. En la práctica, tanto Microsoft 365 como Google Workspace aplican los mismos controles a los buzones de correo empresariales, por lo que la solución es la misma independientemente del servicio que utilicen sus clientes.
La revisión de 20 minutos
- Enumere todo lo que se envía desde su dominio. Microsoft 365 o Google Workspace, el CRM, las herramientas de facturación y nómina, la plataforma de boletines informativos, el formulario de contacto del sitio web, el servicio de asistencia técnica, las herramientas de calendario y reservaciones, y esa impresora que escanea directamente al correo electrónico. La mayoría de los dominios cuentan con entre cinco y ocho.
- Consulte su registro de SPF. Debe haber exactamente uno. Debe incluir todos los servicios de la lista, no superar las diez consultas de DNS y terminar con -all o ~all. Un segundo registro SPF, o una undécima consulta, hace que todo falle.
- Active DKIM en todas partes. En Microsoft 365, se encuentra en el portal de Defender, en la sección «Configuración de autenticación de correo electrónico»; en Google Workspace, en «Aplicaciones», «Google Workspace», «Gmail», «Autenticar correo electrónico». Cada herramienta de terceros cuenta con su propia configuración de DKIM, que le proporciona dos o tres registros DNS para agregar.
- Publique DMARCa en el nivel de monitoreo. Un registro con p=none y una dirección de reporte no cambia nada por el momento, pero en cuestión de días los informes mostrarán todos los servicios que envían mensajes en su nombre, incluidos aquellos que haya olvidado y cualquier persona que se haga pasar por usted.
- Envíe una prueba y lea el resultado. Envíe un correo electrónico a una cuenta personal de Gmail, abra el mensaje, seleccione «Mostrar original» y busque «SPF: APROBADO», «DKIM: APROBADO» y «DMARC: APROBADO». Outlook.com muestra lo mismo en los encabezados del mensaje. Un «FALLO» le indica exactamente qué registro debe corregir.
- Refuerce la configuración de DMARC por etapas. Después de dos a cuatro semanas de informes sin incidencias, pase a p=cuarentena y, luego, a p=rechazo. En el estado de rechazo, nadie podrá enviar correo en su nombre y los destinatarios confiarán más en sus mensajes.
Problemas que parecen relacionados con la autenticación, pero que no lo son
- Un buzón de correo comprometido. Si la entrega se interrumpió de la noche a la mañana, verifique primero los registros de inicio de sesión y las reglas de la bandeja de entrada de las cuentas afectadas. Los atacantes agregan una regla que oculta las respuestas y envían spam desde la cuenta real.
- Correo masivo desde un buzón de correo normal. Outlook y Gmail están diseñados para conversaciones, no para campañas. Las actualizaciones a cientos de contactos deben realizarse mediante una herramienta adecuada, enviadas desde un subdominio como news.yourcompany.com, de modo que un mal día allí no afecte a su dominio principal.
- Firmas extensas y acortadores de enlaces. Menos imágenes, sin enlaces acortados y un texto que parezca escrito por una persona.
- Un dominio completamente nuevo. Los dominios sin historial se tratan con recelo durante las primeras semanas. Comience con volúmenes bajos y conversaciones reales.
- Listas compradas o recopiladas. Las tasas de quejas superiores al 0,3 por ciento lo excluyen de la lista de clientes recomendados de los proveedores durante una semana, y ninguna corrección en el registro puede solucionar eso.
Manténgalo en orden
- Agregue cada nueva herramienta que envíe correo electrónico a SPF y DKIM el mismo día en que se configure
- Lea los informes de DMARC mensualmente, o pida a alguien que los lea por usted
- Mantenga el correo de marketing y transaccional en sus propios subdominios
- Esté atento a la tasa de quejas en Google Postmaster Tools y en las herramientas para remitentes de Microsoft
- Revise quién puede crear reglas de bandeja de entrada y reenvíos, ya que esas son las primeras cosas que modifica un atacante
Preguntas frecuentes
Lo que nos preguntan
Respuestas breves a lo que más nos preguntan los fundadores y los responsables de finanzas.
Pregúntenos algo másPor lo general, se trata de una de estas cuatro situaciones: una nueva herramienta comenzó a enviar mensajes desde su dominio sin haber sido agregada al SPF, el registro SPF superó el límite de diez consultas, un buzón de correo se vio comprometido o un proveedor intensificó sus medidas de cumplimiento, como lo hizo Google a finales de 2025. La verificación de 20 minutos mencionada anteriormente determina cuál es la causa.
Sí. Google ahora espera un registro DMARC de cada remitente que envíe mensajes a direcciones de Gmail, y Outlook.com lo espera de los remitentes más importantes. Un registro con p=none no cambia nada ni tiene ningún costo, y es la única forma de saber quién se está haciendo pasar por usted.
No en p=none. Los problemas solo surgen si se pasa directamente a la cuarentena o se rechaza antes de que todos los servicios legítimos hayan sido aprobados, por lo que primero revisamos los informes durante unas semanas.
Sí. Los registros se encuentran en el DNS de su dominio y se aplican a cualquier plataforma y herramienta que envíe su correo. Solo difiere el lugar donde se activa el DKIM.
Esto se debe a que Microsoft 365 figura en su SPF y DKIM, mientras que el CRM no; o bien, el CRM firma con su propio dominio en lugar del suyo. Cada herramienta cuenta con una configuración de DKIM que resuelve este problema.
Los registros se pueden corregir en un día para la mayoría de los dominios. Aumentar gradualmente el nivel de DMARC hasta llegar a rechazar mensajes de manera segura lleva unas semanas de análisis de informes, y una reputación dañada se recupera tras varias semanas de envíos sin incidencias.
Cómo le ayuda SF3 Technologies
Identificamos todos los servicios que envían mensajes desde su dominio, reparamos el SPF, activamos el DKIM en Microsoft 365 y en Google Workspace, así como en cada herramienta, publicamos el DMARC y lo configuramos para que rechace los mensajes no autorizados mientras revisamos los informes, de modo que su correo electrónico llegue a destino y nadie pueda enviar mensajes en su nombre. Los registros permanecen en su DNS y en su inquilino, bajo su control.
Los requisitos para los remitentes son los publicados por Google y Microsoft en octubre de 2026 y pueden cambiar con el tiempo. Consulte las directrices actuales para remitentes de cada proveedor antes de basarse en un umbral.