Requisitos para remitentes de Google y Yahoo: la lista de verificación completa

En febrero de 2024, Google y Yahoo convirtieron una larga lista de buenas prácticas de correo electrónico en reglas de obligado cumplimiento. Lo que antes eran consejos — autentica tu correo, pon fácil la baja, no envíes basura — pasó a ser un conjunto de requisitos que deciden si tus mensajes se aceptan, se limitan o se rechazan de plano. Si envías correo de marketing o transaccional con algún volumen real, esta es la lista de verificación que ahora tienes que cumplir. Aquí tienes la versión completa y actualizada, en lenguaje claro, con las acciones que exige cada punto.

La respuesta corta#

Los requisitos para remitentes de Google y Yahoo se reparten en tres grupos que se aplican a todo el mundo, y un nivel más estricto para los remitentes masivos — cualquiera que envíe aproximadamente 5000 mensajes o más al día a direcciones de Gmail. Todo remitente debe autenticarse con SPF o DKIM, publicar un DNS directo e inverso válido en las IP de envío y transmitir por TLS. Los remitentes masivos deben además usar SPF, DKIM y DMARC con alineación, añadir la baja con un clic al correo de marketing y mantener su tasa de quejas de spam por debajo del 0,3 % medida en Google Postmaster Tools. Ambos proveedores anunciaron reglas equivalentes y empezaron a aplicarlas de forma conjunta. Lo prudente es tratar el nivel de remitente masivo como el punto de partida para todos, porque los umbrales solo se van endureciendo con el tiempo y no hay ningún inconveniente en cumplirlos pronto.

A quién se aplica#

El umbral de remitente masivo se mide por proveedor, y en concreto sobre direcciones de Gmail: envía unos 5000 mensajes o más en un solo día a destinatarios de Gmail y ya eres un remitente masivo a ojos de Google, de forma permanente — la clasificación no se reinicia si al día siguiente bajas de esa línea. Yahoo definió el mismo nivel para Yahoo, AOL y sus demás dominios. El recuento abarca todo tu dominio de envío, así que el correo de subdominios y de flujos independientes (marketing, notificaciones de producto, recibos) se suma en conjunto.

La lectura práctica es más sencilla que las cuentas del umbral. Si gestionas el correo de una empresa, una agencia o un producto en crecimiento, cruzarás los 5000 al día hacia un mismo proveedor antes de lo que esperas, y los requisitos son todos cosas que un remitente bien gestionado debería estar haciendo de todas formas. Por eso el resto de esta guía trata la lista completa de remitente masivo como el estándar a alcanzar. Por debajo del umbral, técnicamente puedes salir del paso con menos, pero "técnicamente en regla" es un mal punto desde el que construir un programa de envío.

Los requisitos de un vistazo#

1. Autentícate con SPF, DKIM y DMARC#

La autenticación es la entrada, y para los remitentes masivos es innegociable en los tres registros. SPF, DKIM y DMARC son registros DNS que, en conjunto, demuestran que un mensaje procede realmente de tu dominio y no fue falsificado por el camino. SPF enumera los servidores autorizados a enviar en nombre de tu dominio; DKIM adjunta una firma criptográfica que el receptor puede verificar; DMARC vincula ambos a la dirección "From" visible y le dice a los proveedores qué hacer cuando un mensaje falla.

A los remitentes generales, Google y Yahoo les exigen al menos uno entre SPF o DKIM. A los remitentes masivos, les hacen falta los tres. El fallo más habitual aquí no es que falte un registro, sino que esté mal configurado: un registro SPF que no incluye a tu proveedor de correo, una clave DKIM publicada bajo el selector equivocado, o un registro DMARC que técnicamente existe pero no está alineado. Configura cada registro con cuidado — puedes generar el registro SPF exacto de tu proveedor para acertar con el mecanismo include: — y luego confírmalo contra un mensaje real antes de dar por hecho que pasa.

2. Publica una política DMARC, alineada, empezando en p=none#

DMARC es el registro que hace exigibles a SPF y DKIM, y consta de dos partes que los proveedores comprueban de forma independiente: la política y la alineación. La política — el valor p= — le dice a los receptores qué hacer con el correo que falla: p=none solo monitoriza e informa, p=quarantine manda los fallos a spam y p=reject los rechaza. El requisito es que exista un registro DMARC con una política de al menos p=none. No tienes que aplicar la exigencia desde el primer día; lo que sí tienes que hacer es publicar y monitorizar.

La alineación es la parte que se le escapa a la gente. DMARC solo pasa cuando el dominio que se autenticó mediante SPF o DKIM coincide con el dominio de la cabecera "From" visible. Un mensaje puede pasar el SPF puro y aun así fallar el DMARC porque el dominio del sobre no coincide con el dominio del From. La guía paso a paso para configurar DMARC recorre la sintaxis del registro, la dirección de informes rua y el camino desde p=none hasta la exigencia. Empieza en p=none, lee tus informes agregados hasta que cada flujo de correo legítimo se autentique y alinee, y luego endurece a quarantine y, con el tiempo, a reject. Pasar a la exigencia es donde DMARC empieza de verdad a bloquear a los suplantadores que abusan de tu dominio — merece la pena hacerlo, pero solo después de que la monitorización confirme que no vas a bloquear tu propio correo.

3. Añade la baja con un clic al correo de marketing#

Para los remitentes masivos, los mensajes de marketing y promocionales deben incluir una baja con un clic que funcione — y "un clic" tiene aquí un significado técnico concreto. No es solo un enlace de baja en el pie. Requiere dos cabeceras: List-Unsubscribe, que lleva la URL de baja, y List-Unsubscribe-Post, que permite al cliente de correo activar la baja con una sola acción, sin que el destinatario tenga que cargar una página de destino ni rellenar un formulario. Cuando Gmail muestra su propio botón "Cancelar suscripción" junto a tu nombre de remitente, son estas cabeceras en funcionamiento.

Lo rigen dos reglas. La baja debe completarse con un solo clic — sin inicio de sesión, sin página de "selecciona tus preferencias", sin paso de confirmación. Y debes procesar la solicitud en un plazo de dos días. Toda la mecánica, incluido cómo añadir las cabeceras si tu plataforma no lo hace automáticamente, está en la guía sobre la baja con un clic. Por contraintuitivo que parezca, poner trivialmente fácil salir de tu lista es bueno para la entregabilidad: una baja es una salida silenciosa, mientras que la alternativa — un destinatario que pulsa "marcar como spam" porque no encontró cómo salir — es la señal más dañina que puedes generar.

4. Mantén tu tasa de quejas de spam por debajo del 0,3 %#

Este es el requisito con una cifra dura, y es el que los remitentes incumplen con más frecuencia. Google mide tu tasa de quejas de spam en Google Postmaster Tools: la proporción de mensajes entregados que los destinatarios marcan como spam. La regla es quedarte por debajo del 0,3 %, y Google es explícito en que deberías evitar llegar siquiera al 0,1 % — trata el 0,1 % como el techo de trabajo y el 0,3 % como la línea en la que muerde la exigencia. Crúzala y Gmail empieza a limitar o a mandar a la carpeta de spam tu correo hasta que la tasa se recupere.

La tasa es implacable por cómo se calcula. Un envío pequeño y mal segmentado a un grupo poco comprometido puede disparar la cifra diaria muy por encima del 0,3 % aunque tu media histórica parezca buena. La guía de la tasa de quejas de spam explica cómo se mide la cifra y las palancas que la mueven, y la guía más amplia sobre por qué los correos van a spam muestra dónde se sitúan esas quejas entre las demás causas. Las variables que puedes controlar son el permiso (envía solo a quien lo pidió), la relevancia (segmenta en lugar de disparar a todo el mundo) y la cadencia (un envío constante y esperado en lugar de ráfagas por sorpresa). No puedes gestionar lo que no vigilas, así que date de alta en Postmaster Tools y revisa el gráfico de la tasa de spam después de cada envío importante.

5. Publica un DNS directo e inverso válido (registros PTR)#

Cada IP desde la que envías debe tener un registro PTR — el DNS inverso que asigna la IP a un nombre de host — y ese nombre de host debe resolver hacia delante a la misma IP. Esta coincidencia directa e inversa, a veces llamada DNS de círculo completo, es una comprobación básica de legitimidad: los servidores de correo reales la tienen; la infraestructura de spam de usar y tirar a menudo no. Si envías a través de un proveedor de correo consolidado, es casi seguro que ya lo tiene configurado en sus IP compartidas o dedicadas. Si gestionas tu propio servidor de correo o usas una IP dedicada, esto te toca configurarlo a ti con quien te proporcione la IP, y es un descuido habitual al montar nueva infraestructura de envío.

Junto al registro PTR, el formato de tu mensaje tiene que estar limpio: un dominio de envío válido y resoluble, un mensaje con el formato correcto según los estándares de correo, y una cabecera "From" que coincida con el dominio que estás autenticando. Nada de esto es exótico: es la diferencia entre un mensaje que parece venir de una organización real y otro que parece montado por un script.

6. Cifra la transmisión con TLS#

Google y Yahoo exigen que el correo se transmita usando TLS — Transport Layer Security — para la conexión entre tu servidor de envío y el suyo. Esto cifra el mensaje en tránsito para que no pueda leerse ni manipularse por el camino. En la práctica, cualquier proveedor de correo con reputación negocia TLS por defecto, así que para la mayoría de los remitentes este requisito se cumple sin ninguna acción. Si operas tu propio servidor de correo saliente, confirma que ofrece STARTTLS y que negocia con éxito una conexión cifrada con los grandes proveedores. Aquí el TLS se refiere al salto de transporte, y es distinto de los registros de autenticación anteriores — necesitas ambos.

7. No suplantes la cabecera From de Gmail#

Gmail aplica ahora una regla antisuplantación concreta: no puedes enviar correo usando una dirección @gmail.com en la cabecera From a menos que el mensaje se envíe realmente a través de los sistemas de Google. A los profesionales de marketing que solían poner una dirección personal de Gmail en el campo "From" de campañas enviadas a través de una plataforma de terceros les pilló esto — esos mensajes se rechazan cada vez más. La solución es sencilla y correcta: envía desde tu propio dominio autenticado, no desde una dirección gratuita de Gmail (o Yahoo) cuya infraestructura no controlas. Tu dirección From debería estar en un dominio donde hayas publicado SPF, DKIM y DMARC, que es exactamente donde la quieres para la autenticación de todos modos.

8. Envía solo correo que la gente realmente quiere#

Los requisitos que publica Google terminan con una regla que se lee como un principio pero se hace cumplir mediante métricas duras: envía solo a destinatarios que quieren tu correo. Aquí es donde la higiene de listas se encuentra con el cumplimiento. Dos señales convierten el "correo no deseado" en daño para la entregabilidad — las quejas de spam, que ya hemos cubierto, y los rebotes duros. Enviar a direcciones muertas, mal escritas o abandonadas dispara tu tasa de rebotes, y una tasa de rebotes alta le dice a los proveedores que no sabes quién está en tu lista. Peor aún, algunas de esas direcciones muertas se reciclan como trampas de spam — direcciones que existen solo para cazar a remitentes con mala higiene, y un impacto hace un daño real y duradero a tu reputación de remitente.

La solución directa es la verificación: pasa tu lista por una validación para eliminar la sintaxis inválida, los dominios muertos y los buzones no entregables antes de enviar, y verifica las direcciones nuevas en el momento del alta para que la basura no entre de entrada. Cada dirección que comprueba Qualisend vuelve con un estado — entregable, arriesgada, no entregable o desconocida — más un código de motivo y una puntuación de confianza, para que puedas suprimir las direcciones que rebotarían o se quejarían antes de que lleguen siquiera a un buzón de Gmail o Yahoo. Este es el requisito en el que la mayoría de los remitentes invierten de menos, y es el que protege las dos métricas — quejas y rebotes — que vigila todo el marco.

Poner la lista de verificación en práctica#

Los requisitos no son una configuración de una sola vez que marcas y olvidas. La autenticación y el DNS se configuran una vez, pero la tasa de quejas, la tasa de rebotes y la calidad de la lista son continuas — se deterioran en cuanto dejas de vigilarlas. Un ritmo de trabajo sensato: configura SPF, DKIM, DMARC, PTR y TLS una vez y verifícalos; añade la baja con un clic a cada plantilla de marketing; date de alta en Google Postmaster Tools y Microsoft SNDS; y vuelve a verificar tu lista antes de los envíos importantes mientras validas las altas nuevas de forma continua. Si quieres el contexto más amplio en torno a estas reglas — calentamiento, segmentación, reparación de reputación — la guía de entregabilidad de correo cubre las palancas más allá del mínimo de cumplimiento. Cumple la lista de verificación y superas la puerta; haz el trabajo continuo y de verdad te ganas la bandeja de entrada que hay detrás.

Preguntas frecuentes#

¿Se me aplican los requisitos de Google y Yahoo si envío menos de 5000 correos al día?#

Algunos se aplican a todos los remitentes con independencia del volumen: necesitas SPF o DKIM, un DNS directo e inverso válido, transmisión por TLS, y no puedes suplantar una dirección From de Gmail. Las reglas más estrictas para remitentes masivos — los tres (SPF, DKIM y DMARC), más la baja con un clic y el límite del 0,3 % de quejas — entran en vigor formalmente a partir de unos 5000 mensajes al día a un mismo proveedor. Pero el umbral solo tiene que ver con la aplicación de las reglas; los proveedores valoran las mismas señales también en los remitentes pequeños, así que lo prudente es cumplir la lista completa sea cual sea tu volumen actual.

¿Cuál es el límite de la tasa de quejas de spam y cómo se mide?#

Google exige a los remitentes masivos mantener su tasa de quejas de spam por debajo del 0,3 % y advierte de que evites llegar siquiera al 0,1 %. La tasa es la proporción de tus mensajes entregados que los destinatarios marcan como spam, medida en Google Postmaster Tools, herramienta en la que tienes que dar de alta tu dominio para poder verla. Se calcula de forma continua, así que un único envío mal segmentado a un grupo poco comprometido puede disparar la cifra diaria por encima del límite aunque tu media a largo plazo sea buena — por eso el permiso, la segmentación y la higiene de listas importan más que cualquier campaña concreta.

¿Basta con un enlace de baja en el pie del correo para cumplir el requisito de la baja con un clic?#

No. El requisito es concretamente la baja con un clic entregada a través de las cabeceras de correo List-Unsubscribe y List-Unsubscribe-Post, que permiten al cliente de correo dar de baja al destinatario en una sola acción sin cargar una página de destino. Un enlace en el pie sigue siendo una buena práctica y deberías mantenerlo, pero por sí solo no satisface el requisito de las cabeceras para el correo de marketing masivo. La baja también debe completarse con un solo clic — sin página de inicio de sesión ni de preferencias — y procesarse en un plazo de dos días.

¿Cumplir estos requisitos garantiza que mi correo llegue a la bandeja de entrada?#

No: los requisitos son una puerta de acceso, no una garantía. Cumplirlos significa que los proveedores aceptarán y tendrán en cuenta tu correo; no deciden la ubicación en la bandeja de entrada. Dónde acaba tu correo lo siguen determinando la reputación del remitente, la interacción de los destinatarios, las tasas de quejas y de rebotes, y la calidad de la lista. Un remitente que cumple todos los requisitos pero tiene una lista sucia o una reputación pobre acaba igualmente en spam. Trata la lista de verificación como el precio de la entrada y, a partir de ahí, haz el trabajo de higiene de listas y de reputación que de verdad gana la ubicación.

Los requisitos que Google y Yahoo hacen cumplir con más contundencia — pocas quejas y pocos rebotes — se reducen ambos a quién está en tu lista. El plan gratuito pasa toda la cadena de verificación por 100 direcciones para que puedas cazar las muertas y las arriesgadas antes de que te cuesten caras, y el verificador de correo gratuito detecta erratas y dominios muertos directamente en el navegador.