¿Es spam o es rebote?
Antes de buscar culpable, separa dos problemas distintos que la gente mezcla todo el tiempo. Un rebote (bounce) es cuando el mensaje nunca se entrega: el servidor receptor lo rechaza y tú recibes un correo de error, normalmente con un código como 550. Que un correo "llegue a spam" es otra cosa: el mensaje sí se entrega, pero el filtro del destinatario lo manda a la carpeta de correo no deseado en vez de a la bandeja principal, sin avisarte nada a ti.
Esa diferencia importa porque el diagnóstico es distinto. Un rebote casi siempre es un problema de autenticación o de un bloqueo directo, y tú te enteras porque el error regresa. Que caiga en spam es un problema de confianza acumulada, el receptor decidió que ese mensaje en particular, o ese remitente en general, se parece más a correo no deseado que a correo legítimo, y ahí es donde entran las siete causas reales que revisamos abajo. Casi todas se pueden confirmar gratis en menos de diez minutos.
Causa 1: SPF ausente o roto
SPF es el registro DNS que le dice al mundo qué servidores tienen permiso de enviar correo en nombre de tu dominio. Google exige que todo remitente tenga SPF o DKIM configurado correctamente, y si envías 5,000 mensajes o más al día a cuentas personales de Gmail, exige ambos. Sin SPF, o con un SPF que no incluye al servicio que realmente está enviando el correo (tu proveedor de hosting, tu CRM, tu sistema de facturación), el mensaje llega como no autenticado, y Gmail puede rechazarlo directamente con un error 550-5.7.26 o simplemente mandarlo a spam.
Un error común es tener dos registros SPF distintos publicados por accidente, algo que rompe la validación por completo porque el estándar solo permite uno por dominio. Revísalo buscando el TXT record de tu dominio y confirmando que hay exactamente un v=spf1 que incluye a todos tus remitentes reales.
Causa 2: DKIM sin firmar
DKIM agrega una firma criptográfica a cada mensaje que sale, y el receptor la verifica contra una llave pública publicada en tu DNS. En Google Workspace, DKIM viene apagado por dominio hasta que lo activas manualmente desde el Admin Console y publicas la llave, así que si nunca lo configuraste, tu correo sale sin firmar aunque todo lo demás esté bien. Google recomienda llaves de 2048 bits, más seguras que las de 1024, que solo deberías usar si tu proveedor de DNS no soporta la longitud mayor.
Esto se repite igual en Zoho Mail y en cPanel: DKIM no se activa solo, hay que generarlo y publicar el registro TXT correspondiente, con un selector específico (algo como google._domainkey o zoho._domainkey). Revísalo enviando un correo de prueba a una cuenta de Gmail que controles, abriéndolo, y viendo el encabezado Authentication-Results en "Mostrar original": tiene que decir dkim=pass.
Causa 3: DMARC sin alineación
DMARC no reemplaza a SPF ni a DKIM, los conecta con el dominio que el destinatario realmente ve en el campo "De". Según el RFC 7489, para que DMARC pase, el dominio que aprueba SPF o el dominio que firma DKIM tiene que coincidir (alinear) con el dominio organizacional del encabezado "De" visible. Puedes tener SPF y DKIM pasando perfectamente y aun así fallar DMARC si, por ejemplo, tu sistema de facturación firma con DKIM usando su propio dominio en vez del tuyo.
Sin un registro DMARC publicado, ni siquiera hay una regla que le diga al receptor qué hacer con el correo que no alinea, así que muchos proveedores lo tratan con más sospecha por default. Publicar un DMARC en modo p=none no bloquea nada, pero te empieza a mandar reportes que muestran exactamente qué remitentes están fallando la alineación, información que sin DMARC simplemente no tienes.
Causa 4: reputación del dominio o de la IP
Aunque SPF, DKIM y DMARC estén perfectos, el historial de envío de tu dominio o de la IP que usas puede estar dañado. Google Postmaster Tools califica esto como Alta, Media, Baja o Mala: Alta significa "un historial de tasas de spam muy bajas", Mala significa que el correo "casi siempre se marca como spam o se rechaza". La tasa de spam que Google vigila es el porcentaje de tus mensajes que la gente marca manualmente como spam después de recibirlos, y la guía oficial es mantenerla debajo de 0.10% y nunca llegar a 0.30%.
Si usas hosting compartido, Microsoft 365 en un plan básico o cualquier plataforma donde compartes IP con otros clientes, tu reputación puede caer por culpa de otro remitente en esa misma IP. Google lo dice de forma directa: "la actividad de cualquier remitente que use una dirección IP compartida afecta la reputación de todos los remitentes" en ella. Revísalo dándote de alta en Google Postmaster Tools, que muestra estos paneles una vez que tienes volumen suficiente de correo autenticado hacia Gmail.
Causa 5: contenido y listas
Más allá de la autenticación, el filtro de spam también evalúa qué estás enviando y a quién. Listas viejas que ya nadie abre son el problema más común: la gente que ya no reconoce al remitente es la que más presiona "reportar spam" en vez de simplemente ignorar o darse de baja, y eso empuja tu tasa de spam hacia arriba con el tiempo. El contenido también cuenta: asuntos exagerados, enlaces acortados, imágenes sin texto, o mandar el mismo mensaje idéntico a miles de personas de golpe son señales que los filtros modernos ya reconocen.
Revísalo mirando tus métricas de apertura por segmento. Si un grupo grande de contactos no ha abierto nada en 90 o 180 días, sácalo del envío activo antes de que arrastre al resto.
Causa 6: remitentes externos no autorizados
Esta es la causa que más se escapa porque no está en tu bandeja, está en herramientas de terceros que envían correo "en tu nombre" sin que lo hayas revisado: el sistema de facturación electrónica, el CRM, la tienda en línea, la plataforma de cobros. Si ese servicio envía usando tu dominio en el "De" pero no está en tu SPF ni firma con un DKIM alineado, cada correo que manda cuenta en contra de tu reputación general, aunque tú nunca hayas dado clic en "enviar".
Revísalo haciendo una lista de todo lo que envía correo con tu dominio (no solo tu bandeja de Gmail o Workspace) y confirmando que cada uno esté autorizado en SPF y firmando con DKIM propio.
Causa 7: dominio nuevo
Un dominio recién registrado, o uno que nunca ha enviado volumen real a Gmail, no tiene mala reputación, tiene reputación en cero. Postmaster Tools puede simplemente no mostrar datos todavía. El problema es que enviar un lote grande de golpe desde un dominio así se ve prácticamente igual a un atacante armando un dominio desechable para mandar spam, y los filtros lo tratan con la misma sospecha.
Revísalo con paciencia: empieza con volumen bajo hacia contactos que sí van a abrir y responder, sube despacio, y deja que el dominio construya historial antes de depender de él para algo urgente como una campaña grande o una migración completa.
Revísalo ahora, gratis
Las primeras seis causas se pueden confirmar sin pagar nada: revisa tu SPF y DKIM con el diagnóstico de correo de Guanacos Tech, lee un encabezado real con el analizador de encabezados, y si ya tienes DMARC publicado, revisa los reportes con el analizador DMARC. Entre los tres tienes visibilidad de casi todo lo que revisamos arriba en una sola sesión.
Cómo ayuda Guanacos Tech
La mayoría de los casos que revisamos no tienen una sola causa, tienen dos o tres encimadas: un DKIM que nunca se activó, una plataforma de facturación que nadie autorizó en SPF, y una lista que se dejó de limpiar hace un año. Hacemos el diagnóstico completo, arreglamos el DNS en el orden correcto y nos quedamos monitoreando hasta que la reputación se estabilice. Si quieres que lo revisemos juntos, agenda una llamada gratuita.
Fuentes
- Configura DKIM para evitar la suplantación - Ayuda de administración de Google Workspace
- RFC 7489 - Domain-based Message Authentication, Reporting, and Conformance (DMARC)
- Guías de remitentes de correo - Ayuda de administración de Google Workspace
- Paneles de Postmaster Tools - Ayuda de Gmail
- Evitar que el correo a usuarios de Gmail se bloquee o se marque como spam