¿Necesito baja en un clic si solo mando 500 correos al mes?

No como requisito. Gmail lo ata a quien envía más de 5,000 mensajes diarios a cuentas de Gmail, y el conteo cubre tu dominio principal junto con sus subdominios. De todos modos vale la pena a cualquier escala, porque la otra salida que tienen tus lectores es el botón de spam, y Gmail calcula a diario la tasa de spam reportado por usuarios contra un techo de 0.3%.

¿Alcanza con un encabezado List-Unsubscribe con mailto:?

Depende del proveedor. Las buenas prácticas para remitentes de Yahoo aceptan el método mailto y recomiendan el método POST del RFC 8058. Las preguntas frecuentes de los lineamientos para remitentes de Gmail dicen que los enlaces de baja con mailto y las URL simples no cumplen su requisito de un clic, así que para Gmail necesitas una URI HTTPS en List-Unsubscribe más el encabezado List-Unsubscribe-Post.

Agregué los dos encabezados y el botón de baja de Gmail sigue sin aparecer. ¿Por qué?

La causa habitual es la firma DKIM. El RFC 8058 exige que los dos encabezados estén dentro del conjunto firmado, listados en la etiqueta h=, y dice que un receptor que no encuentre esa firma no debería ofrecer la baja en un clic para el mensaje. La ayuda de Gmail también señala que el botón junto al nombre del remitente solo aparece en mensajes que pasan las verificaciones automáticas de elegibilidad de Google, incluso cuando el remitente agregó su propio enlace de baja.

List-Unsubscribe: configurar la baja en un clic

Imagina una firma de veinte personas que manda un boletín al mes. Sale del mismo dominio por el que viajan las facturas y el soporte, abajo hay un enlace de baja en gris chiquito, y la tasa de apertura viene cayendo desde hace un año. Un día alguien reenvía una captura: en Gmail, justo al lado del nombre del remitente, otros boletines muestran un botón de baja y el de ellos no. Dos meses después, el envío completo cae en spam para buena parte de la lista.

Las dos cosas están conectadas. Ese botón no es una cortesía de Gmail y no es el enlace de tu pie de página. Sale de dos encabezados que viajan en el mensaje, y cuando faltan, o están pero sin firma, la única salida rápida que le queda a un lector cansado es el botón de spam. Un reporte de spam es la señal más cara de la entregabilidad. Una baja te cuesta una dirección. Esto es lo que configuramos para clientes, en el orden en que lo hacemos, y lo que revisamos antes de tocar nada.

Qué lee ese botón en realidad

La baja en un clic es el RFC 8058, una especificación de estándar publicada en enero de 2017. Funciona con dos encabezados:

List-Unsubscribe: <https://mail.ejemplo.com/u/9f2c1b7a4e8d>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

List-Unsubscribe es mucho más viejo y puede llevar una dirección mailto:, una URL HTTPS o las dos. Por sí solo no es baja en un clic. El segundo encabezado es la señal, y el RFC 8058 es preciso: debe contener el único par de clave y valor List-Unsubscribe=One-Click, nada más. Las preguntas frecuentes de los lineamientos para remitentes de Gmail lo dicen desde el otro lado: otros tipos de baja, los enlaces mailto y las URL simples, no cumplen su requisito de baja en un clic.

Hay un detalle de la especificación que te ahorra una mala semana: la URI debe llevar un identificador opaco u otro componente difícil de falsificar. Cualquiera que pueda leer el encabezado puede llamar al endpoint, así que una URL con la forma ?email=alguien@ejemplo.com le permite a un desconocido dar de baja a tus clientes editando la cadena de consulta. Genera un token aleatorio por suscriptor y por lista, y resuélvelo de tu lado.

Quién está obligado y quién debería hacerlo igual

Los lineamientos para remitentes de Gmail, revisados el 15 de octubre de 2026, atan el requisito al volumen: quien envía más de 5,000 mensajes diarios a cuentas de Gmail debe soportar la baja en un clic en su correo de marketing y de suscripción, y además incluir un enlace de baja claramente visible en el cuerpo. Las preguntas frecuentes agregan la parte que casi nadie nota: esos 5,000 se cuentan sobre el dominio principal, subdominios incluidos, así que tres flujos chicos desde tres subdominios suman un remitente masivo. El requisito cubre el correo de marketing y de suscripción, no el transaccional.

Las buenas prácticas para remitentes de Yahoo piden un encabezado List-Unsubscribe funcional que soporte la baja en un clic en el correo de marketing y de suscripción, recomiendan ampliamente el método POST del RFC 8058, aceptan el método mailto, quieren también el enlace visible en el cuerpo y piden que las solicitudes se procesen en un plazo de dos días. Los requisitos de Microsoft para remitentes de alto volumen hacia los buzones de consumo de Outlook.com se apoyan en la autenticación, SPF, DKIM y DMARC para dominios que pasan los 5,000 mensajes diarios, y colocan el enlace de baja funcional entre sus recomendaciones adicionales de higiene, no como una regla obligatoria.

La mayoría de los negocios con los que trabajamos no se acerca a 5,000 diarios. El umbral define si esto es obligatorio, no si vale la pena. El techo de Gmail para los reportes de spam de usuarios es 0.3% y recomienda quedarse por debajo de 0.1%, y esa tasa se calcula a diario. Si 2,000 de tus direcciones son de Gmail, seis reportes de spam en un solo día te dejan en 0.3% ese día. Seis lectores que no encontraron la salida no es un error grande de criterio. Es un encabezado que falta.

Los encabezados solo sirven si DKIM los cubre

Esta es la falla que más encontramos y no se ve desde el lado del que envía. El RFC 8058 exige que el mensaje lleve al menos una firma DKIM válida, y que List-Unsubscribe y List-Unsubscribe-Post estén dentro del conjunto firmado, listados en la etiqueta h= de la firma. Un receptor que no encuentre esa firma no debería ofrecer la baja en un clic para ese mensaje. Entonces la plataforma agrega los encabezados, el equipo de marketing los ve en el código fuente del correo, y el botón nunca aparece.

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
 d=ejemplo.com; s=selector1;
 h=from:to:subject:date:list-unsubscribe:list-unsubscribe-post;
 bh=...; b=...

Leer la lista de encabezados firmados en un mensaje real es la única forma de confirmarlo. Manda una copia de la campaña a un buzón que controles, abre el original y revisa tres cosas: que los dos campos estén, que los dos aparezcan en h=, y que el dominio que firma esté alineado con el dominio de tu From para que DMARC pase por el lado de DKIM.

Qué tiene que hacer el endpoint

Cuando el lector da su consentimiento, el proveedor de correo manda un POST por HTTPS a tu URI con List-Unsubscribe=One-Click como cuerpo. El RFC 8058 dice que ese contenido debería enviarse como multipart/form-data y puede enviarse como application/x-www-form-urlencoded, así que acepta los dos. El resto de la especificación es una lista de cosas que tu endpoint no debe necesitar:

Sin redirección. El remitente no debe responder con una redirección HTTPS, porque las acciones POST redirigidas han sido históricamente poco confiables. Un sitio de marketing que manda toda ruta a un prefijo de idioma, o de http a https, rompe la baja en un clic sin que nadie vea un error.
Sin cookies ni autorización. El POST no debe incluir cookies, autorización HTTP ni ningún otro contexto. Tu endpoint no puede preguntar quién inició sesión. El token opaco tiene que alcanzar por sí solo.
Sin paso de confirmación. Un POST termina la suscripción. Una página que responde "haz clic aquí para confirmar" no es baja en un clic, y de todos modos el lector nunca ve esa página.
Sin dudar de la solicitud. El proveedor solo manda el POST después de que la persona da su consentimiento, así que trata cada solicitud como una decisión real, responde un 200 y hazla idempotente para que un POST repetido no sea un error.

Después, actúa dentro de la ventana. Gmail pide que las solicitudes de baja se procesen en 48 horas, Yahoo en dos días. Un endpoint que guarda la solicitud en una cola que alguien vacía los viernes no llega, y el lector que hizo clic el lunes y recibió la campaña del jueves va directo al botón de spam.

Qué revisamos en el envío de un cliente antes de cambiar algo

Cuáles flujos son de verdad correo de suscripción. Los recibos, los restablecimientos de contraseña y las confirmaciones de cita no lo son, y los lineamientos de suscripción de Gmail piden que el correo de suscripción y el que no lo es salgan de direcciones distintas. Ordenar los flujos primero suele simplificar todo lo que viene después.
Quién controla los encabezados. La baja en un clic es configuración del lado del remitente, plataforma por plataforma. En una plataforma de envío real es una opción más un dominio de envío verificado. El correo que sale directo de un buzón, de un plugin o de un script no tiene ninguna maquinaria de baja, y esa es la señal honesta de que el boletín ya no cabe donde vive.
Identidad de la lista. Los lineamientos de suscripción de Gmail dicen que cada suscripción puede identificarse con un encabezado List-id: legible o con una dirección From única por lista. Esto importa en cuanto hay más de una lista: quien se va del boletín mensual no debería perder también sus recibos.
El enlace del cuerpo se queda. Gmail y Yahoo siguen pidiendo un enlace de baja claramente visible en el mensaje. La baja en un clic no lo reemplaza, y ese enlace del cuerpo es el que puede llevar a una página de preferencias donde la gente elige qué conservar.
Cómo se armó la lista. La guía de suscripción de Gmail apunta al doble opt-in antes de mandar correo de suscripción. La baja en un clic sobre una lista que nadie pidió solo hace más rápida la salida.

Los errores que más encontramos

En las auditorías que hacemos se repite el mismo puñado. Una dirección mailto: sola en List-Unsubscribe, que Yahoo acepta y que no cumple el requisito de un clic de Gmail. Los dos encabezados presentes y ninguno listado en la etiqueta h= de DKIM. Una URL de baja detrás de un inicio de sesión, con lo cual el POST no puede funcionar. Una redirección delante del endpoint. La dirección del destinatario en la URL en texto claro. Los encabezados agregados al correo transaccional, que convierte un restablecimiento de contraseña en un ticket de soporte. Y la baja técnicamente perfecta que termina en una hoja de cálculo que nadie abre hasta fin de mes.

Qué vigilamos después del cambio

Esto se ve en Postmaster Tools. Mira la tasa de spam reportado por usuarios día por día contra el techo de 0.3%, con 0.1% como número al que apuntar, y espera que las bajas suban al principio. Esa subida es el mecanismo funcionando: la gente que se iba a ir se va por la puerta en lugar de la alarma. Revisa la ubicación en bandeja del mismo dominio durante el mes siguiente, y lee los tableros de Postmaster Tools juntos, no uno por uno.

Sé honesto con lo que esto no arregla. La baja en un clic baja la tasa de quejas que generas de aquí en adelante. No repara una reputación ya ganada, no autentica nada y no limpia una lista comprada hace tres años. Si el correo ya está cayendo en spam, primero va el trabajo de autenticación y de volumen, y esto va junto, porque la tasa de quejas es la señal más lenta de recuperar.

Cómo ayuda Guanacos Tech

Esto lo hacemos como parte del trabajo de entregabilidad para equipos pequeños y medianos de Norteamérica y Latinoamérica: separar los flujos de suscripción del correo con el que opera tu negocio, dejar los dos encabezados emitidos y firmados, revisar el endpoint contra la especificación, confirmarlo en un mensaje real y después vigilar contigo la tasa de quejas el mes siguiente. Cómo trabajamos cabe en una página. Si prefieres que los encabezados queden verificados en lugar de investigados, ofrecemos consultoría de entregabilidad de correo, y media hora con una de tus campañas abierta alcanza para decirte si el botón va a aparecer y qué hace falta para lograrlo.

Baja en un clic: los dos encabezados que lee Gmail y el endpoint que va detrás