Mandas un presupuesto y el cliente te dice que no le ha llegado. Aparece en su carpeta de correo no deseado, o directamente no aparece. Y lo peor es la sensación de no poder hacer nada porque «eso depende de Gmail».
Depende bastante menos de Gmail de lo que parece. La mayoría de estos casos se explican por tres o cuatro cosas concretas que puedes comprobar tú mismo en media hora, sin ser técnico y sin contratar a nadie. Vamos de lo más fácil a lo más profundo, y en ese orden, porque no tiene sentido revisar listas negras si el problema es que estás mandando un correo con siete enlaces acortados.
Descarta primero lo evidente: contenido, adjuntos y enlaces
Antes de tocar nada técnico, haz esta prueba: escribe un correo de dos líneas, en texto plano, sin adjuntos ni enlaces, y mándalo a una cuenta de Gmail y a una de Outlook que tengas. Si ese correo llega bien a la bandeja de entrada, tu infraestructura está sana y el problema está en el contenido de lo que envías habitualmente. Si ese correo también cae en spam, salta a la sección siguiente.
Lo que más penaliza en el contenido de una pyme, por orden de frecuencia:
- Correos que son una sola imagen con todo el texto dentro. Los filtros no pueden leerlos y desconfían.
- Enlaces acortados o enlaces cuyo texto visible no coincide con el destino real. Es exactamente el patrón del fraude.
- Adjuntos de riesgo:
.html,.zipcon ejecutables dentro,.iso. Para mandar un presupuesto, PDF y punto. - Firmas gigantes con imágenes alojadas en servidores raros y cinco iconos de redes sociales.
- Asuntos en mayúsculas, con signos de exclamación o palabras tipo «urgente», «gratis», «última oportunidad».
- Un dominio recién comprado: los dominios nuevos arrancan sin reputación y los primeros envíos masivos desde uno recién registrado se miran con lupa. Se soluciona con tiempo y volumen creciente, no con trucos.
Autenticación: SPF, DKIM y DMARC ya son requisito de entrada
Aquí está la causa número uno de los correos legítimos que acaban en spam. Hace años la autenticación era un extra recomendable; hoy es la puerta de entrada, y sin ella tu correo empieza el partido perdiendo.
Comprobarlo es sorprendentemente fácil y no requiere herramientas de pago. Mándate un correo a una cuenta de Gmail y ábrelo ahí. En el menú de los tres puntos, arriba a la derecha del mensaje, pulsa Mostrar original. Se abre una pantalla con tres líneas que lo dicen todo:
SPF: PASS con IP 12.34.56.78
DKIM: 'PASS' con el dominio tudominio.es
DMARC: 'PASS'Lo que necesitas ver es PASS en las tres, y en la de DKIM que el dominio que aparece sea el tuyo, no el de la plataforma que envía. Si DKIM pasa pero con el dominio del proveedor, técnicamente está firmado, pero no cuenta para DMARC. Ese matiz —la alineación— es el que más quebraderos de cabeza da, y lo tienes explicado con detalle en qué hacen exactamente SPF y DKIM.
Si ves FAIL o SOFTFAIL en SPF, casi siempre es porque estás enviando desde una plataforma que no has añadido a tu registro SPF: la newsletter, el CRM, el programa de facturación o el propio servidor de tu web. Y si no tienes DMARC publicado, el siguiente paso natural está en cómo activar DMARC por fases sin quedarte sin correo. Que quede claro: DMARC no mejora por sí solo la entregabilidad de forma mágica, pero su ausencia sí te cierra puertas con los proveedores grandes, y sus informes son la única forma seria de ver quién envía en tu nombre.
Reputación de IP y de dominio: por qué el hosting compartido te penaliza
Los filtros puntúan dos cosas distintas: la reputación de la IP desde la que sale el mensaje y la del dominio que firma. Puedes tener una perfecta y la otra por los suelos.
El problema clásico de la pyme española es enviar el correo desde el mismo alojamiento compartido donde está la web. Esa IP la comparten decenas o cientos de cuentas: si el vecino manda publicidad masiva, o si a otro le han comprometido la web y desde ella salen miles de mensajes, la IP se quema y tú lo pagas sin haber hecho nada. Ese es también el motivo por el que una web infectada afecta al correo de toda la empresa: no es una intuición, es que el servidor entero pasa a estar marcado.
Qué hacer, en orden de lo más barato a lo más caro:
- Separa el correo de la web. Que el correo salga de un proveedor de correo profesional y la web se quede en el hosting. Es lo más eficaz que puedes hacer y suele costar unos pocos euros al mes por buzón.
- Comprueba el DNS inverso (PTR) de tu IP de envío. Si envías desde servidor propio y el PTR no coincide con el nombre del servidor, muchos filtros rebajan tu puntuación de entrada. En hosting gestionado esto lo tiene que arreglar el proveedor: pídeselo por escrito.
- Envíos masivos, plataforma aparte. Newsletter y correo comercial nunca desde el buzón de la empresa.
Listas negras: cómo comprobarlo y cómo salir
Una lista negra (RBL) es un listado de IPs y dominios señalados por enviar correo no solicitado. Estar en una de las grandes puede significar el rechazo directo del mensaje, no la carpeta de spam.
Para comprobarlo necesitas tu IP de envío, que es exactamente la que has visto en la línea de SPF al abrir Mostrar original. Con ese número, consulta los buscadores públicos de las listas principales; hay servicios gratuitos que consultan decenas a la vez. Y revisa también el texto del rebote si lo has recibido: los mensajes de error del tipo 550 5.7.1 suelen indicar literalmente qué lista te está bloqueando y con qué enlace pedir la salida.
Para salir, el orden importa y no admite atajos:
- Primero arregla la causa. Si te han listado es porque desde esa IP salió correo basura: una web comprometida, un buzón con la contraseña robada que alguien está usando de lanzadera, o un envío masivo a una base de datos comprada.
- Luego solicita la retirada en el formulario de cada lista. Casi todas tienen un proceso gratuito y automático la primera vez.
- No repitas. Muchas listas endurecen el plazo en la segunda entrada y algunas exigen justificar qué has corregido.
Si estás en una lista negra y no encuentras el motivo, sospecha del buzón, no del servidor: una contraseña de correo filtrada convierte tu cuenta en emisora de spam sin que veas nada raro en tu bandeja. Revisa la carpeta de enviados y los inicios de sesión recientes.
El error de que tu formulario web envíe suplantándote a ti mismo
Este merece su propio apartado porque está en casi todas las webs de WordPress que caen en nuestras manos y casi nadie lo ve.
El formulario de contacto envía el aviso poniendo como remitente la dirección de correo del visitante. Es cómodo para responder, pero técnicamente es una suplantación: tu servidor está mandando un correo diciendo ser [email protected]. Fallará SPF siempre, y a medida que endurezcas la política puede dejar de llegarte por completo.
La configuración correcta es sencilla:
- El remitente (
From) debe ser siempre una dirección tuya, por ejemplo[email protected]. - La dirección del visitante va en el campo
Reply-To, así respondes con un clic igual que antes. - Y el correo debe salir por SMTP autenticado contra un buzón real, no por la función
mail()del servidor. En WordPress se resuelve con cualquiera de los plugins de SMTP habituales, configurando el buzón que ya tienes.
Este mismo cambio arregla de paso los correos que no llegaban: confirmaciones de pedido, avisos de formulario y enlaces de recuperación de contraseña.
Lo que exigen Google y Microsoft desde 2024
En 2024 Google y Yahoo publicaron requisitos explícitos para quien envía volumen alto a sus usuarios, y Microsoft ha ido después en la misma dirección con las cuentas de Outlook.com. Aunque los umbrales de volumen no te afecten, conviene cumplirlos todos porque marcan hacia dónde va el filtrado:
- SPF y DKIM configurados, y DMARC publicado al menos en política de observación.
- Alineación del dominio del
From:con la autenticación. - Conexión cifrada con TLS y DNS inverso válido para la IP de envío.
- Baja de suscripción en un clic, con la cabecera
List-Unsubscribe, y baja efectiva en un plazo corto. - Tasa de quejas por spam muy baja: Google publica como referencia mantenerse por debajo del 0,3%.
Lo último es el punto que más se ignora: si compras bases de datos o mandas comerciales a quien no te los ha pedido, ninguna configuración técnica te va a salvar. Además, en España eso tiene una segunda lectura legal, así que no es solo un problema de entregabilidad.
Qué hacer si solo te pasa con un cliente concreto
Caso muy distinto y muy común: a todo el mundo le llega bien menos a una empresa. Ahí tu configuración no es el problema; el filtro de ellos lo es.
Qué pedir, con estas palabras, a su informático o a su proveedor: que revisen la cuarentena de su sistema de correo, que busquen tus mensajes en el registro de seguimiento y te digan qué regla los ha retenido, y que añadan tu dominio a la lista de remitentes permitidos. Si te llega un rebote, reenvíaselo entero: el código de error y el nombre del filtro vienen dentro y les ahorra la mitad del trabajo.
Y una advertencia de seguridad que viene al caso: si un cliente te dice que le llegan correos tuyos raros, pidiendo cambios de número de cuenta, no es un problema de spam sino de suplantación, y ahí lo urgente es que en tu empresa sepan reconocer un correo de phishing dirigido al negocio antes de que alguien pague una factura falsa.
Cuándo esto se te va de las manos
Con honestidad: el 80% de los casos de una pyme se arregla con lo de arriba —autenticación bien puesta, correo separado de la web y el formulario configurado como debe— y no hace falta pagar a nadie. Empieza a compensar buscar ayuda si estás reincidiendo en listas negras, si el problema apareció después de un incidente en la web, o si tienes varios dominios y plataformas heredadas y nadie sabe ya qué envía desde dónde. Si además quieres dejar ordenado el conjunto —hosting, HTTPS, DNS y correo—, el recorrido completo está en la guía de configuración segura de una web.
Para empezar por el diagnóstico y no por la sospecha, analiza tu dominio de correo gratis y mira qué falta: en unos segundos tienes el estado de SPF, DKIM y DMARC, que es justo lo que revisan los filtros antes de decidir dónde cae tu presupuesto.