Códigos de error SMTP: qué te está diciendo el rebote

Si tu correo ha rebotado, el rebote trae un código y el código ya te dice de quién es el problema. Los que empiezan por 4 son aplazamientos: el servidor de destino no acepta ahora, pero volverá a aceptar, y tu servidor reintenta solo. Los que empiezan por 5 son rechazos definitivos: no se reintenta, se arregla la causa. Y si el código continúa por 5.7 (por ejemplo 550 5.7.26 o 550 5.7.515), la causa casi nunca es el destinatario: es que tu dominio no se identifica como se le exige desde 2024.

Esta guía es, sobre todo, una tabla. Busca el código exacto que te ha llegado y baja a su apartado. Cada uno está copiado tal como lo devuelven Google y Microsoft, con el enlace a la página que lo documenta.

Cómo se lee un rebote en diez segundos

Un rebote trae tres piezas: los tres dígitos dicen si es temporal o definitivo, el código ampliado dice de qué familia es el problema, y el texto del servidor suele decir literalmente qué falta.

550 5.7.515 Access denied, sending domain [dominio] does not meet the required authentication level

   │   │       └── texto del servidor: aquí está la causa, en inglés y sin adornos
   │   └── código ampliado: familia 5.7 = política y autenticación
   └── código de tres dígitos: 5xx = rechazo permanente, no reintentar

La tabla: qué es cada código y qué hacer

La familia 5.7.x: por qué de repente rebotan

Hasta 2024, un correo mal autenticado acababa en la carpeta de spam. Google fijó el 1 de febrero de 2024 como entrada en vigor de sus requisitos de remitente masivo y empezó aplicándolos con errores temporales. Microsoft anunció el 5 de mayo de 2025 la exigencia de SPF, DKIM y DMARC a quien envía más de 5.000 mensajes al día a outlook.com, hotmail.com y live.com: primero a Correo no deseado, después rechazo con 550 5.7.515.

Esa frase es el cambio: de aplazar a rechazar. Por eso un flujo que llevaba años funcionando empieza a rebotar sin que nadie haya tocado nada. No ha cambiado tu correo, ha cambiado lo que el receptor acepta.

421-4.7.26, 421-4.7.30 y 421-4.7.32

Los tres son de Google y los tres son aplazamientos: el correo sigue en la cola y se reintenta. Son la señal más barata que vas a recibir, porque te avisan de que la autenticación está mal antes de que empiecen los 550. El 4.7.26 es que fallaron SPF y DKIM a la vez. El 4.7.30, que falló DKIM en un remitente masivo. El 4.7.32 es el peor entendido: SPF o DKIM pueden estar pasando, pero no alinean con el dominio que el usuario ve en el From:.

550-5.7.26: el mismo problema, ya sin reintentos

Es el 4.7.26 cuando se acaba la paciencia: rechazo permanente por autenticación. Aquí no hay cola ni reintento, cada mensaje se pierde en el momento. Reenviar la misma campaña sin tocar el DNS solo acumula rebotes duros, que es la métrica por la que tu proveedor de envío te suspende la cuenta.

550 5.7.515: el de Microsoft

550; 5.7.515 Access denied, sending domain [dominio] does not meet the required authentication level

Microsoft exige aquí las tres cosas: SPF, DKIM y DMARC publicado, con el From: alineado por SPF o por DKIM. Y hay un detalle que sorprende: una vez superados los 5.000 mensajes al día con el mismo dominio en el From:, todos los mensajes posteriores deben cumplir, envíes cinco mil o envíes cinco. El mismo umbral lo usa Google, con un matiz que rompe arquitecturas enteras: los subdominios cuentan hacia el umbral del dominio principal, así que trocear el envío en news1, news2 y news3 no baja de los 5.000, solo reparte el mismo total.

550 5.7.1, 421 4.7.0 y 4.7.28: reputación y ritmo

Estos tres no hablan de tus registros DNS, hablan de por dónde y a qué velocidad sales. El 550 5.7.1 indica que la IP está en la lista de suspendidos de Google, y en la práctica casi siempre es reputación de una IP compartida que no controlas. El 421 4.7.0 y el 4.7.28 son limitación de ritmo: vas demasiado rápido para lo que ese destino te tolera hoy, y para el 4.7.28 Google indica esperar 10 minutos antes de reintentar. La reacción correcta ante un 4.7.0 sostenido no es cambiar de proveedor: es bajar el ritmo, porque Google pide expresamente ritmo constante y evitar las ráfagas.

Rebote duro, rebote blando y qué hacer con cada uno

Los umbrales que te cierran la cuenta antes que Gmail

Los rebotes no solo te cuestan entregas: te cuestan el proveedor. Estos umbrales están publicados en los términos de cada uno, así que se aplican solos y sin discusión.

Fíjate en el orden de las cifras: el umbral de quejas de Mailgun y de Resend (0,08 %) es más estricto que el de Google (0,10 % recomendado, 0,30 % de exclusión). Te cierran la cuenta antes de que Gmail te penalice, así que el riesgo primario de una campaña mal hecha no es la carpeta de spam, es quedarte sin proveedor a mitad de envío. Y la aritmética del 0,30 % conviene tenerla escrita: son 3 quejas por cada mil correos entregados. En un envío de 5.000 destinatarios, quince personas que pulsan «marcar como spam» te dejan fuera del sistema de mitigación de entrega de Google, y solo recuperas la elegibilidad tras siete días consecutivos por debajo del umbral.

El error que no da ningún código

La peor avería no rebota. Cuando tu correo se entrega y va a la carpeta de spam, el destino responde 250 (aceptado) y tú no te enteras: no hay código, no hay rebote, no hay aviso. Solo el rechazo con código te deja una prueba en la mano. Y la tasa de spam de Postmaster Tools tampoco cubre ese hueco, porque Google la define como el porcentaje de mensajes que los destinatarios marcan a mano: el filtrado automático no aparece ahí. Puedes tener un 0,05 % de tasa de spam y estar cayendo masivamente en la carpeta.

Qué hacer ahora, en orden

1. Copia el código exactoDel rebote original, no del resumen de tu cliente de correo, con el dominio y la fecha al lado.
2. Mira si es 4xx o 5xxCon un 4xx tienes margen y el correo se sigue reintentando. Con un 5xx, para el envío.
3. Comprueba los registros públicos de tu dominioSPF, DKIM, DMARC y el MX se ven desde fuera en treinta segundos, y ahí se explican casi todos los 5.7.x.
4. Arregla la alineación, no solo los registrosQue el dominio del From: coincida con el que firma DKIM o con el del Return-Path. Es el fallo que más veces hay detrás de un 4.7.32.
5. Reanuda despacioVolver de golpe al volumen anterior tras un bloqueo es la forma más rápida de volver a bloquearte.

Si no rebota, sino que se entrega y no lo lee nadie, la guía que continúa este hilo es «Mis correos van a spam». Si el rebote es de la familia 5.7.x, la que lo arregla de raíz es «SPF, DKIM y DMARC», que explica la alineación con calma. Y si estás volviendo a enviar después de un bloqueo, léete antes «Calentamiento de dominio»: la reanudación es lo que más gente rompe.