La llamada casi siempre llega de quien paga las cuentas. Las facturas de un proveedor están cayendo en spam, no todas y no para todos, que es justo lo que vuelve loco a cualquiera. Se pasaron dos corridas de pago antes de que alguien atara los cabos, y la petición que acompaña la historia es siempre la misma: ponlos en lista blanca.
A veces ese es el cambio correcto. Más seguido la excepción tapa la falla real y deja el dominio más fácil de suplantar que antes. Este es el orden en que trabajamos sobre el dominio de un cliente, con los controles concretos, porque la consola de administración ofrece varios que parecen intercambiables y no se comportan igual.
Tres cosas distintas parecen "Gmail está bloqueando a nuestro proveedor"
Sepáralas antes de tocar un ajuste, porque cada una tiene una solución diferente.
- El mensaje está en la carpeta de spam. Llegó y Gmail lo clasificó. Es el único caso que una lista blanca realmente resuelve.
- El mensaje está en la bandeja con un aviso. Gmail lo entregó y le advirtió al lector que parece sospechoso. Autorizar una dirección IP no quita ese aviso: Google dice que quien recibe correo desde una IP autorizada probablemente siga viendo la advertencia.
- El mensaje nunca llegó. Entonces lo rechazaron durante la conversación SMTP o está en cuarentena. Necesitas el texto del rebote del remitente o la cola de cuarentena, y la lista blanca no cambia nada.
Hay un cuarto caso que vale descartar en los primeros cinco minutos. Si el dominio todavía tiene una ruta de entrega vieja hacia otro servidor, o el ajuste de buzón ajeno a Gmail está activo, el correo puede salir de Google antes de que un usuario lo vea, y la carpeta de spam que estás mirando no es la que filtra. La guía de Google para gestionar el spam arranca exactamente ahí: quita el ajuste de buzón ajeno a Gmail y desactiva las rutas que envían correo a un servidor externo, para que la gente pueda ver y reclasificar lo que se filtró. Los dos viven en los ajustes de Enrutamiento de Gmail.
Lee un mensaje filtrado antes de cambiar un ajuste
Pide un ejemplo real, reenviado como adjunto o con las cabeceras originales intactas. La propia página de Google para correo legítimo marcado como spam apunta a la misma evidencia: las cabeceras traen el resultado de las verificaciones de SPF, DKIM y DMARC, y puedes pegarlas en la herramienta Messageheader de Admin Toolbox para leerlas sin forzar la vista.
La línea que define todo el trabajo se ve así.
Authentication-Results: mx.google.com;
dkim=pass header.i=@proveedor.example header.s=sel1;
spf=pass (google.com: domain of facturas@proveedor.example
designates 203.0.113.25 as permitted sender);
dmarc=pass (p=REJECT sp=REJECT dis=NONE)
header.from=proveedor.exampleTres resultados en pass y un header.from que coincide con la marca del campo De significan que el remitente está haciendo su parte y que el filtrado es un juicio de contenido o de reputación. Un dmarc=fail, un spf=softfail o una firma DKIM de un dominio ajeno significan que el remitente es el problema y que estás a punto de taparlo.
Casi siempre la falla real es la autenticación del remitente
Tres patrones explican casi todos los casos que vemos. Un proveedor envía desde una plataforma de facturación que nunca agregó a su registro SPF, así que SPF falla y DKIM queda firmado por el dominio de la plataforma, lo que rompe la alineación. O el correo viene reenviado, desde una dirección vieja o una lista de distribución, y el reenvío rompe SPF de una forma que solo una firma DKIM sobreviviente o ARC puede rescatar. O el remitente no publica nada y cada receptor queda adivinando.
La recomendación de Google para el correo marcado como spam por error es configurar SPF, DKIM y DMARC, y ese consejo apunta al lado que envía. Por eso el primer correo que escribimos no es el aviso de que autorizamos a alguien, es una nota corta al proveedor con la falla, el dominio que firmó el mensaje y lo que le toca agregar. Ese mensaje resuelve más tickets de este tipo que cualquier cambio en la consola, y deja tu filtrado intacto para el próximo remitente desconocido.
Cuando el remitente es un cliente, un portal del gobierno o un banco, la respuesta honesta es que no van a cambiar nada por ti. Ahí es donde la lista blanca se gana su lugar.
Si de todas formas necesitas una excepción, elige la más estrecha
Todos estos controles viven en Aplicaciones, Google Workspace, Gmail, Spam, phishing y malware, menos el último. No son equivalentes.
| Control | Qué hace | Alcance | Qué pesamos |
|---|---|---|---|
| Lista de direcciones en el ajuste de Spam, con autenticación exigida | El correo de esas direcciones omite el filtro de spam, pero solo cuando autentica | Es un ajuste de Gmail, así que eliges la unidad organizativa | Nuestra opción por defecto. Estrecha, y nadie puede aprovecharla suplantando esa dirección |
| La misma lista con la autenticación del remitente desactivada | Acepta correo sin autenticar de esos remitentes y omite el filtro | Igual | La guía de salud de Google pide exigir autenticación a todo remitente aprobado. Lo usamos solo como entrada temporal con fecha de retiro |
| Un dominio completo en la lista de remitentes aprobados | El correo de cualquier dirección de ese dominio no se filtra por spam | Todos los remitentes del dominio, incluidos los que nunca has visto | Google recomienda no poner dominios en la lista, porque ese correo sin filtrar eleva el riesgo de suplantación. Rara vez vale la pena |
| Lista blanca de correo, por dirección IP | Trata como aprobado el correo de las IP públicas que indiques | Siempre todo el dominio. No se puede limitar a una unidad organizativa | La página de salud de Google recomienda no configurarla, y el aviso de mensaje sospechoso se queda igual |
| Pasarela de correo entrante | Le dice a Gmail cuál salto es tu propio relay, para que encuentre la IP real que envía detrás | Todo el dominio | Es la respuesta correcta para un servidor que reenvía hacia Gmail. Una IP en la lista de pasarelas vuelve irrelevante la entrada de lista blanca para esa misma IP |
| Política de publicación del grupo | Permite que un grupo acepte mensajes que considera sospechosos | Un grupo | Es la única palanca cuando el destinatario es un grupo, porque los filtros de spam personalizados no aplican a grupos |
La fila de la pasarela es la que sorprende. Gmail lee las entradas Received: from y toma como remitente original la primera IP pública que no esté en tu lista de IP de pasarela entrante, así que para un relay delante de Google declaras el relay como pasarela y autorizas la fuente que está detrás, no el relay. Si pones la misma IP en los dos lugares, la entrada de lista blanca no afecta ni la entrega ni el filtrado.
Cómo configuramos la lista de remitentes aprobados
- Primero armamos la lista de direcciones, con las que de verdad envían:
facturas@proveedor.example, no el dominio completo del proveedor. La autenticación del remitente viene activada por defecto en las entradas nuevas y el consejo de Google es dejarla así. - Asociamos esa lista al ajuste de Spam de la unidad organizativa que la necesita. La opción no tiene efecto hasta que seleccionas al menos una lista, que es la razón más común por la que un administrador jura que el ajuste está roto.
- Decidimos aparte si conviene ocultar los avisos para esos remitentes. Omitir el filtro y ocultar advertencias son decisiones distintas, y ocultarlas le quita una señal al lector.
- Dejamos por escrito quién lo pidió, qué direcciones se agregaron y por qué, con fecha de revisión. Una lista blanca sin dueño es la forma en que un dominio termina con veinte remitentes sin filtrar que nadie puede explicar.
- Pedimos al destinatario que marque los mensajes anteriores como "No es spam". El consejo de Google para correo mal clasificado incluye ese paso, y para un usuario suelto tener al remitente en Contactos de Google también mantiene su correo fuera de spam.
Lo que una lista blanca nunca va a hacer
Esta es la parte que decimos en voz alta antes de hacer el cambio, porque la expectativa equivocada genera el siguiente ticket.
- No anula la detección de amenazas. Google es explícito: si Gmail considera que un mensaje es sospechoso, puede rechazarlo o mandarlo a spam incluso si el remitente está en tu lista.
- No quita el aviso. La documentación de la lista blanca por IP dice que la advertencia de Gmail probablemente aparezca igual.
- No escala como política. Cada entrada es un remitente cuyo correo ya no se revisa como todo lo demás, y por eso la página de salud de seguridad de Google marca como riesgo tanto los dominios aprobados como las listas por IP.
- No alcanza a los grupos. Los filtros de spam personalizados no se pueden aplicar a grupos, así que una lista de correo necesita el arreglo a nivel de grupo.
Cuando el destinatario es un grupo, no un buzón
Si el correo filtrado va dirigido a un grupo, los controles de spam de la consola son la herramienta equivocada. Los ajustes del grupo traen una política de publicación que se puede relajar para que los mensajes sospechosos se publiquen en el grupo, y el dueño del grupo puede cambiarla. Un límite se mantiene sin importar qué configures: los mensajes identificados como spam de alta confianza siempre se rechazan para el grupo.
Eso convierte el caso del grupo en una pregunta de diseño más que de configuración. Un grupo que recibe facturas, postulaciones o soporte de desconocidos necesita una política de publicación pensada y un dueño con nombre que lea la cola de moderación, que es la misma conversación que qué controlan de verdad los permisos de grupos.
Qué vigilamos el mes siguiente
Las listas blancas se echan a perder. El proveedor cambia de plataforma de facturación, la entrada temporal se vuelve permanente y quien la pidió ya no trabaja ahí. Le ponemos recordatorio a cada entrada y revisamos dos cosas cuando suena: si ese remitente ya autentica, para sacar la entrada, y si empezó a llegar algo más sin filtrar desde el mismo dominio.
También revisamos la otra dirección, porque un dominio al que le aflojaron el filtrado de entrada suele ser un dominio que nadie mira hace tiempo. Si quieres saber cómo está el tuyo antes de que alguien toque la consola, nuestra guía sobre leer las cabeceras para encontrar por qué un mensaje cayó en spam es el mismo primer paso que damos, y las rutas y los nombres citados aquí coinciden con las páginas de ayuda de Google al 5 de noviembre de 2026.
Cómo ayuda Guanacos Tech
En el dominio de un cliente esto es un trabajo corto: la evidencia del mensaje, una nota a los remitentes que sí se pueden arreglar, la excepción más estrecha para los que no, los ajustes de enrutamiento limpios para que Gmail sea de verdad lo que filtra, y una lista fechada de cada entrada con su dueño. La meta es tener menos excepciones, no más.
Si prefieres que esto se haga en vez de leerlo, somos consultores de Google Workspace y trabajamos con equipos pequeños y medianos de Norteamérica y Latinoamérica. Una llamada de 30 minutos alcanza para decirte si tu caso es un problema del remitente, de enrutamiento o una lista blanca de verdad.
Fuentes
- Listas blancas, listas negras y remitentes aprobados (Ayuda de Google Workspace)
- Gmail marca como spam mensajes válidos (Ayuda de Google Workspace)
- Añadir direcciones IP a listas blancas en Gmail (Ayuda de Google Workspace)
- Monitorizar el estado de la configuración de Gmail (Ayuda de Google Workspace)
- Opciones para gestionar los mensajes de spam (Ayuda de Google Workspace)
- Correo legítimo a un grupo marcado como spam (Ayuda de Google Workspace)