Mis correos van a spam: cómo saber qué está pasando de verdad

Hay tres cosas distintas que la gente llama "ir a spam", y no se arreglan igual. O te rechazan en la puerta, y entonces existe un rebote con un código que dice exactamente por qué. O te aceptan y te dejan en la carpeta de correo no deseado, y entonces no hay rebote y el destinatario te encuentra si va a buscarte. O te aceptan y el mensaje no aparece en ninguna parte. Para saber cuál de las tres es la tuya solo hay que mirar una cosa: si hay rebote y qué código trae.

La primera se ha vuelto mucho más frecuente. En noviembre de 2025 Google escaló de aplazar el correo no conforme con errores temporales (serie 421) a rechazarlo de forma permanente (serie 550), y Microsoft rechaza desde 2025 con 550 5.7.515 el correo cuyo dominio no cumple el nivel de autenticación exigido. Lo que hace tres años era una molestia hoy es un rebote duro, y eso es una buena noticia: un rechazo viene con diagnóstico escrito.

Paso 1: comprueba si hay rebote

Antes de tocar nada, busca el rebote. Si envías desde Gmail o desde Outlook, llega como respuesta automática del "mailer-daemon" o del "postmaster" a la misma cuenta desde la que enviaste, y el código está dentro, casi siempre al final del texto en inglés. Si envías con una herramienta de campañas, está en el panel de rebotes de esa herramienta, no en tu buzón. Y si tienes servidor propio, está en el registro de la entrega. Un rebote típico se lee así:

550-5.7.26 Your email has been blocked because the sender is unauthenticated.
550-5.7.26 Gmail requires all senders to authenticate with either SPF or DKIM.
550 5.7.26 Authentication results: DKIM = did not pass, SPF [empresa.es] with ip: [203.0.113.10] = did not pass

Caso A: te rechazan (hay rebote y hay código)

La primera cifra del código dice si el rechazo es temporal o definitivo. La serie 4xx es un aplazamiento: el servidor te pide que lo intentes más tarde y tu servidor reintentará solo. La serie 5xx es permanente: reenviar sin cambiar nada solo empeora tu reputación. Esta es la tabla que resuelve casi todos los rebotes de los tres grandes proveedores:

Caso B: te aceptan y caes en la carpeta de correo no deseado

Aquí no hay rebote ni código, y por eso es el caso que más tiempo se pierde diagnosticando. Conviene saber algo que casi nadie explica: la tasa de spam que publica Google mide, literalmente, "el porcentaje de tus mensajes que los destinatarios marcan manualmente como spam en Gmail". Solo el marcado a mano. El filtrado automático no aparece en ese número. Es perfectamente posible tener una tasa de spam del 0,05 por ciento y estar cayendo en la carpeta de correo no deseado de casi todo el mundo.

Y hay dos familias de filtros muy distintas decidiendo. Gmail, Outlook y Yahoo clasifican con modelos entrenados sobre comportamiento agregado: quién marca spam, quién responde, quién borra sin leer. Ahí las listas de palabras prohibidas son esencialmente un mito, y la prueba es por ausencia: las directrices oficiales de remitente de Google no contienen ninguna lista de palabras, solo reglas de formato y de honestidad. Pero buena parte de tus destinatarios B2B españoles están detrás del otro tipo de filtro: un SpamAssassin de cPanel o de Plesk, o un Rspamd corporativo, donde las reglas de contenido tienen puntuación numérica publicada y se suman.

De ahí sale la única formulación honesta: no se optimiza por palabras, se optimiza por estructura, porque la estructura correcta pasa los dos filtros. Enviar siempre en multipart con su parte de texto plano, mantener el HTML por debajo de 100 KB (Gmail no publica la cifra, pero recorta los mensajes largos y el recorte se lleva por delante el pie y el enlace de baja), no mandar un correo que sea una imagen, no ocultar texto con CSS y no usar acortadores públicos: el dominio del enlace se evalúa por separado y puede estar listado en la DBL de Spamhaus, con lo que tu mensaje hereda un problema ajeno.

Caso C: desaparición silenciosa

El servidor aceptó el mensaje, no hubo rebote, y el destinatario no lo encuentra ni en la bandeja ni en la carpeta de correo no deseado. Es el caso menos frecuente y el más desconcertante. Las causas habituales son estas:

• Una pasarela antispam corporativa lo ha puesto en cuarentena y solo lo ve el administrador, no el usuario. Es lo normal en empresas medianas y grandes.
• El destinatario tiene una regla de bandeja que archiva o borra, muchas veces creada hace años y olvidada.
• El buzón es un catch-all que acepta cualquier dirección y tira lo que no reconoce. En dominios corporativos españoles con Microsoft 365 esto es muy común.
• Hay un reenvío por el medio que rompió la firma y el destino final descartó el mensaje. Es exactamente el problema que resuelve ARC, y lo pone el intermediario, no tú.
• Greylisting: el destino devolvió un 4xx temporal, tu herramienta lo dio por perdido y nunca reintentó.

La forma de salir de la duda es pedir al destinatario que busque por remitente en toda la cuenta, no solo en la bandeja, y en paralelo mirar el panel de errores de entrega de Google Postmaster Tools, que Google define como el porcentaje de mensajes autenticados rechazados o fallidos temporalmente. Ese panel sube antes que la tasa de spam y es el detector precoz de un bloqueo.

El árbol de decisión, en cuatro preguntas

1. ¿Hay rebote?Sí, con código de la serie 5xx: caso A, rechazo permanente. Sí, con 4xx: caso A también, pero temporal, y casi siempre es ritmo o autenticación a medias. No hay rebote: sigue a la pregunta 2.
2. ¿Le pasa con todos los destinos o solo con uno?Si falla en Gmail y en Outlook y en el correo del cliente, el problema es tuyo y es de configuración. Si falla solo en un proveedor, mira su documentación concreta: Microsoft y Google no exigen lo mismo ni rechazan igual.
3. ¿Le pasa a todo el correo o solo a las campañas?Si las respuestas normales llegan y solo desaparecen los envíos masivos, no es la autenticación del dominio: es reputación, contenido o lista. Si no llega ni un correo escrito a mano, es autenticación y se arregla primero.
4. ¿Desde cuándo?Si empezó de golpe un día concreto, busca qué cambió ese día: una herramienta nueva añadida al SPF, un cambio de proveedor de correo, una clave DKIM rotada a medias. La causa número uno de "de repente dejó de llegar" es un SPF que se pasó de los diez lookups al añadir un servicio más.

Los fallos que explican la mayoría de los casos

Lo que casi nunca es la causa

No es la palabra "oferta" en el asunto. No es el emoji (aunque conviene quitarlo del nombre visible, porque Google lo pide por escrito). No es que sea martes. Lo que Google publica no es un diccionario de palabras prohibidas, son requisitos de formato:

Por orden de impacto real, lo que sí decide es esto: autenticación rota o desalineada, tasa de quejas por encima del 0,30 por ciento, el dominio de tus enlaces, el HTML sucio, los adjuntos en un primer contacto y el texto oculto. Todo lo demás es ruido, y perseguirlo es la forma más habitual de perder tres semanas sin mover nada.

Qué hacer ahora, en orden

1. Localiza un rebote reciente y quédate con el código. Si no hay rebote, ya sabes que no es un problema de entrega.
2. Comprueba los registros públicos de tu dominio: que haya un solo SPF y que no se pase de diez consultas, que el DKIM firme con tu dominio y que exista DMARC.
3. Abre un correo tuyo recibido en Gmail, mira la cabecera Authentication-Results y comprueba si dmarc dice pass o fail. Ahí se ve la alineación, que es lo que ninguna herramienta barata mira.
4. Da de alta el dominio y cada subdominio de envío en Google Postmaster Tools. Es gratis y es la única fuente que no opina.
5. Solo después toca el contenido, y tócalo por estructura: multipart con texto plano, sin acortadores, sin adjuntos, con enlaces de tu propio dominio.

Si el paso 2 te ha dejado con más preguntas que respuestas, la guía de SPF, DKIM y DMARC explica los tres registros y, sobre todo, la alineación: el motivo por el que los tres pueden estar en verde en cualquier comprobador y aun así fallar DMARC en el cien por cien de tus envíos.