Qué exigen exactamente Gmail, Outlook y Yahoo

Los tres piden lo mismo en lo esencial: SPF, DKIM, DMARC (con p=none basta) y que el dominio del From esté alineado con el de SPF o con el de DKIM. El umbral a partir del cual eso deja de ser recomendación y pasa a ser condición de entrega son 5.000 mensajes al día a cuentas de consumidor, y aquí está la letra pequeña que rompe arquitecturas: los subdominios suman.

La otra cifra que hay que saberse es el 0,30 por ciento de quejas. No es un aviso, es una puerta: al superarlo, Google te declara no elegible para mitigación de entrega, y solo recuperas la elegibilidad tras siete días consecutivos por debajo.

El umbral: 5.000 al día, y los subdominios suman

Tres matices que cambian el diseño de cualquier infraestructura de envío. Primero: los mensajes enviados desde subdominios cuentan hacia el umbral del dominio principal, así que trocear en news1, news2 y news3 para quedarse por debajo de 5.000 no funciona y nunca ha funcionado. Segundo: se cuenta contra cuentas personales del proveedor, no contra el total de tu lista. Y tercero, el que más sorprende: una vez cruzado el umbral, se es remitente masivo de forma permanente. Microsoft lo dice de forma explícita para Outlook.com: a partir de 5.000 mensajes con el mismo dominio en el From, todos los mensajes posteriores deben cumplir.

La tabla comparada de los tres

La aritmética del 0,30 por ciento

Google publica tres niveles y conviene traducirlos a personas, porque en porcentaje no se entiende el margen que hay:

Ese es el dato que cambia la conversación: el margen entre "va bien" y "estás fuera" son diez personas enfadadas. Y hay dos detalles de definición que casi nadie tiene en cuenta. El primero: la tasa mide solo el marcado manual, literalmente "el porcentaje de tus mensajes que los destinatarios marcan manualmente como spam en Gmail", así que el filtrado automático no aparece. Puedes tener una tasa impecable y estar cayendo en la carpeta de correo no deseado. El segundo: el denominador es el correo entregado en bandeja, no el enviado, cosa que Yahoo dice de forma explícita, y por eso el número nunca cuadra con lo que te dice tu herramienta de envío.

Qué cambió y cuándo

Lo que exige Google y no es autenticación

La mitad de los requisitos publicados no van de criptografía sino de formato y de honestidad, y son los que más se incumplen sin querer:

• Formato conforme al RFC 5322, con un Message-ID válido en todos los mensajes.
• La cabecera From debe llevar una sola dirección de correo.
• Nada de asunto ni contenido metido en el nombre visible del remitente, y nada de emojis ni caracteres no estándar en él.
• Prohibido ocultar contenido con HTML y CSS. Los enlaces del cuerpo tienen que ser visibles y comprensibles.
• DNS inverso válido y coherente (PTR) para los dominios o las IP que envían.
• TLS en la conexión, desde diciembre de 2023.

Lo que no vas a encontrar en ninguna de las tres guías oficiales es una lista de palabras prohibidas. No existe. En Gmail, Outlook y Yahoo decide el comportamiento agregado de miles de destinatarios, no un diccionario. Donde las palabras sí puntúan es en los filtros de reglas que hay detrás de mucho hosting español, y eso se resuelve por estructura del mensaje, no por sinónimos.

La baja en un clic, en dos frases

List-Unsubscribe: <https://empresa.es/u/8f3a1c9e-4b2d-4f77-9c1a-2b8e5d0f7a63>, <mailto:baja@empresa.es?subject=unsubscribe>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Google y Yahoo dan un plazo máximo de dos días para procesar la baja. En España hay además una obligación propia y anterior: la LSSI exige incluir una dirección electrónica válida donde ejercer la oposición, y prohíbe expresamente enviar comunicaciones que no la incluyan. Son dos cosas distintas y hay que cumplir las dos. La implementación exacta, con la trampa del GET de los escáneres de seguridad, está en la guía de la baja en un clic.

Cómo compruebas si cumples

1. Da de alta en Google Postmaster Tools el dominio raíz y cada subdominio de envío por separado, y hazlo antes del primer envío para tener línea base. El panel de estado de cumplimiento es binario y no admite discusión.
2. Mira el panel de errores de entrega: sube antes que la tasa de spam y es el detector precoz de un bloqueo.
3. Si tienes IP propia, pide acceso a SNDS y date de alta en JMRP, que son por IP. En Yahoo, el bucle de quejas es por dominio DKIM.
4. Comprueba la alineación en un mensaje real de cada flujo, mirando la cabecera Authentication-Results. Los registros en verde no prueban alineación.
5. Ten presente el límite de volumen de Postmaster Tools: con poco tráfico a Gmail no verás datos, porque Google los oculta para proteger la privacidad de los usuarios.

Cumplir esta lista se reduce, en la práctica, a dos trabajos. El primero es publicar los tres registros y conseguir que alineen, que es lo que explica la guía de SPF, DKIM y DMARC. El segundo es subir la política de DMARC sin dejar de entregar por el camino, y eso tiene su propio runbook en la guía de DMARC sin romper nada, reescrito después de la revisión de mayo de 2026.