Reglas de envío de correo masivo para Google, Yahoo, Microsoft y Apple iCloud Mail

Los proveedores de correo electrónico están reforzando la autenticación de remitentes para reducir el phishing, la suplantación de identidad y el spam. Gigantes tecnológicos como Google, Yahoo, Microsoft y Apple han implementado políticas de cumplimiento estrictas para los remitentes masivos, y su aplicación ya está en vigor en todos los principales proveedores.

Si su organización envía un gran volumen de correos electrónicos, el incumplimiento de estos requisitos hará que sus correos electrónicos sean rechazados a nivel SMTP; ni siquiera llegarán a la carpeta de spam. ¿La buena noticia? Cumplir con los requisitos no tiene por qué ser complicado. ¡Así que aquí tienes una guía completa sobre los requisitos para los remitentes de correo masivo de los principales proveedores de servicios de correo electrónico!

Lo que está en juego es evidente: los remitentes que cumplen con la normativa tienen una tasa media de entrega en la bandeja de entrada del 89 % en 2026, mientras que los remitentes que no cumplen con las normas ven cómo entre el 22 % y el 34 % de sus correos electrónicos van a parar a la carpeta de spam —una penalización de entre 3 y 7 veces mayor—. Dos años después de la entrada en vigor de la normativa, la brecha entre los programas que cumplen con las normas y los que no nunca ha sido tan grande.

¿Qué es un remitente de correo masivo?

Un remitente de correo masivo es cualquier persona u organización que envía un gran volumen de mensajes de correo electrónico. La mayoría de los proveedores los clasifican como aquellos que suelen enviar 5.000 o más mensajes al día. Esto se aplica a los correos electrónicos enviados desde un único dominio a múltiples destinatariosnormalmente para:

• Campañas de marketing
• Boletines
• Mensajes transaccionales (por ejemplo, confirmaciones de pedidos, restablecimiento de contraseñas)
• Notificaciones o alertas

Rasgos clave de los remitentes masivos:

• Los correos electrónicos suelen enviarse por lotes (no es una comunicación individual).
• Los destinatarios pueden o no haber interactuado previamente con el remitente.
• Los mensajes suelen estar automatizados y se envían a través de plataformas de marketing por correo electrónico, CRM o herramientas de envío masivo.

Importante: Las normas de Google solo se aplican a los correos electrónicos enviados a cuentas personales de Gmail (@gmail.com y @googlemail.com). Las cuentas de pago de Google Workspace no se incluyen en el límite de remitentes masivos. Las normas de Microsoft se aplican a los dominios para particulares: Outlook.com, Hotmail.com y Live.com.

Umbrales y requisitos de envío masivo por proveedor

Si envía miles de correos electrónicos al día, está en el radar. A continuación te explicamos cómo define cada uno de los principales proveedores a un remitente masivo y qué esperan de ti:

1. Google (Gmail)

Límite de envío masivo: Más de 5000 correos electrónicos al día por dominio

Requisitos clave:

• SPF, DKIMy DMARC implementación
• Spam rate <0.3%
• Darse de baja con un solo clic (Encabezados RFC 8058)
• Conformidad con RFC 5322
• Registros PTR válidos
• Encabezados ARC para los correos reenviados
• Cifrado TLS para la transmisión de correo electrónico

Calendario de aplicación:

• Febrero de 2024: Errores temporales por correos electrónicos no conformes
• Abril de 2024: Rechazo progresivo de los correos electrónicos que no cumplan los requisitos
• Junio de 2024: Plena aplicación con rechazo total de los correos electrónicos no conformes.
• Octubre de 2025: Google retira la versión anterior de Postmaster Tools y lanza Postmaster Tools v2, que incluye un estado de cumplimiento binario (aprobado/suspendido) en sustitución del antiguo sistema de reputación gradual.
• Noviembre de 2025: Gmail pasa de los aplazamientos temporales (errores 421) a los rechazos definitivos (errores 550). Los correos masivos que no cumplan los requisitos se rechazan ahora directamente a nivel SMTP y no se volverán a enviar.

Códigos de error importantes a tener en cuenta:

• 550-5.7.26 — El correo electrónico no cumple con la alineación DMARC (novedad desde noviembre de 2025)
• 421-4.7.32 — Error de coincidencia de SPF/DKIM
• 550-5.7.1 — Error grave de SPF

Más información en Ayuda para administradores de Google Workspace. Véase también: Aplicación de Gmail 2025: Google comienza a rechazar correos electrónicos

2. Yahoo

Límite de envío masivo: Más de 5000 correos electrónicos al día por dominio

Requisitos clave:

• Implementación de SPF, DKIM y DMARC
• Spam rate <0.3%
• Baja sencilla (encabezados de un solo clic según RFC 8058)
• Registros PTR válidos
• Conformidad con RFC 5322

Entrada en vigor: En vigor desde febrero de 2024. Yahoo imita los requisitos de autenticación de Gmail con medidas de aplicación equivalentes.

Más información en Yahoo Sender Hub.

3. Microsoft (Outlook, Hotmail y Live)

Límite de envío masivo: Más de 5000 correos electrónicos al día por dominio

Requisitos clave:

• Implementación de SPF y DKIM
• DMARC alineado con SPF o DKIM (preferiblemente ambos)
• Política DMARC con un valor mínimo de p=none
• Direcciones «De» y «Responder a» válidas
• Enlaces de cancelación de suscripción que funcionen (recomendado)
• Prácticas de gestión de listas y envío transparente

Calendario de aplicación: (Actualizado)

• 5 de mayo de 2025: Se anuncian los requisitos y comienza la aplicación inicial
• Agosto de 2025: los correos electrónicos que no cumplan los requisitos se desviarán a la carpeta de correo no deseado con encabezados de advertencia
• Noviembre de 2025: Aplicación total de la política de rechazo. Los correos electrónicos que incumplan los requisitos recibirán ahora errores 550 5.7.515 permanentes y serán rechazados de inmediato; no llegarán a la carpeta de correo no deseado ni a la de spam.

Diferencia clave con respecto a Google: Microsoft tiene muy en cuenta la reputación de la IP, además de la reputación del dominio. Si compartes IP con un remitente de spam, tu capacidad de entrega se verá afectada en Microsoft, incluso si tu autenticación es correcta.

Más información en el Centro de la comunidad de Microsoft. 

Véase también: Requisitos de Microsoft para remitentes en 2025: DMARC obligatorio en Outlook

4. Apple (iCloud Mail)

Límite de remitentes masivos: No se ha especificado formalmente

Requisitos clave:

• Implementación de SPF, DKIM y DMARC
• Cabeceras ARC añadidas a los correos reenviados
• Válido y coherente De: nombre
• Enlace para darse de baja
• Registros PTR válidos
• Conformidad con RFC 5322

Plazo de cumplimiento: Sin fijar. Sin embargo, las directrices de Apple para remitentes masivos ya se ajustan en gran medida a las de Google, Yahoo y Microsoft. Los analistas del sector esperan en general que Apple formalice la aplicación de estas normas entre 2026 y 2027.

Nota: En PowerDMARC recomendamos comenzar la implementación de DMARC con p=none y pasar gradualmente a p=quarantine y, finalmente, a p=reject, mientras supervisa sus informes DMARC.

Comparación de proveedores en paralelo

¿Qué ocurre si no se cumplen las normas?

El incumplimiento ya no es un riesgo teórico. Esto es lo que ocurre hoy en día cuando tus correos electrónicos no cumplen los requisitos para remitentes masivos:

• Google: Los correos electrónicos reciben errores de rechazo 550 permanentes a nivel SMTP. Nunca llegan a la bandeja de entrada ni a la carpeta de spam. El estado de cumplimiento de Postmaster Tools indica «Fallo».
• Microsoft: Los correos electrónicos reciben el código de error permanente 550 5.7.515. A diferencia del enfoque anterior de Google, que consistía en enviarlos a la carpeta de correo no deseado, Microsoft ahora los rechaza directamente.
• Yahoo: Comportamiento de rechazo similar en caso de autenticación no válida.

El impacto en la capacidad de entrega es evidente:

• Remitentes que cumplen con los requisitos: ~89 % de tasa de entrega en la bandeja de entrada en 2026
• Remitentes que no cumplen con los requisitos: entre el 22 % y el 34 % de los mensajes van a parar a la carpeta de spam — entre 3 y 7 veces más que el valor de referencia
• Alrededor del 30 % de los remitentes masivos siguen sin cumplir parcialmente al menos un requisito, siendo el más habitual el encabezado de baja con un solo clic del RFC 8058.

Lecturas relacionadas: Aplicación de Gmail 2025: Google comienza a rechazar correos electrónicos

¿Por qué es importante la autenticación del correo electrónico para los remitentes masivos?

SPF (Marco de directivas del remitente): SPF ayuda a los dominios a verificar los remitentes autorizados. Cuando se recibe un correo electrónico, el servidor receptor comprueba el registro SPF publicado en el DNS del remitente. Si el remitente no aparece en la lista, el correo electrónico falla SPF.

DKIM (Correo Identificado por Clave de Dominio): DKIM añade una firma digital a los mensajes de correo electrónico. Esto permite al servidor receptor verificar que el mensaje no ha sido alterado y que procede realmente del remitente declarado.

DMARC (Domain-based Message Authentication Reporting & Conformance): DMARC se basa en SPF y DKIM. Permite a los propietarios de dominios especificar cómo deben tratarse los mensajes no autorizados. DMARC proporciona informes detallados sobre la actividad de autenticación del correo electrónico.

En conjunto, estos tres protocolos cubren más del 90 % de una lista típica de correo electrónico B2C en Google, Yahoo, Microsoft y Apple. Si no se configuran correctamente los tres, tus correos electrónicos corren el riesgo de ser rechazados por todos los principales proveedores de buzones de correo.

Con la publicación de DMARCbis como RFC 9989 (mayo de 2026), DMARC ha pasado de ser un documento informativo a convertirse en un estándar propuesto, una clara señal de que el sector del correo electrónico considera la autenticación como una infraestructura fundamental, y no como una buena práctica opcional.

Requisitos adicionales obligatorios y recomendados del remitente masivo

1. Registros PTR válidos

Sin registros PTR (rDNS) adecuados, los filtros antispam pueden sospechar. Tus correos electrónicos podrían acabar en la bandeja de correo no deseado. Si envías correos electrónicos desde una IP dedicada o un MTA autohospedado, esa IP necesita un registro PTR válido (también conocido como DNS inverso). En pocas palabras, la IP debe apuntar a un nombre de dominio, y ese nombre de dominio debe apuntar a su vez a la misma IP. Se trata de una verificación bidireccional.

2. Cancelación de la suscripción con un solo clic (RFC 8058)

Los proveedores de servicios de correo electrónico, como Google, Yahoo y Apple, exigen a los remitentes masivos que incluyan una opción de baja sencilla con un solo clic en los correos electrónicos. Microsoft también lo recomienda como parte de su lista de buenas prácticas para la higiene del correo electrónico.

Este es el requisito que más se malinterpreta. No se trata del enlace para darse de baja que aparece en el pie de página del correo electrónico. Google espera que incluyas encabezados especiales que permitan a los usuarios darse de baja con un solo clic. Sin esto, Google no puede mostrar el botón «Cancelar suscripción» en las bandejas de entrada de Gmail.

Esto es lo que tienes que hacer: incluye estos dos encabezados en tu correo electrónico:

List-Unsubscribe-Post: List-Unsubscribe=Con un solo clic

List-Unsubscribe: <https://yourdomain.com/unsubscribe/example>

Nota: El enlace HTTPS del encabezado «List-Unsubscribe» debe responder a una solicitud POST sin redireccionamientos ni páginas de confirmación. Además, debe atender las solicitudes de baja en un plazo de 48 horas. Este requisito se aplica únicamente a los correos electrónicos de marketing y promocionales; los correos electrónicos transaccionales (confirmaciones de pedidos, restablecimientos de contraseña) están exentos.

3. Bajos índices de spam

Los proveedores de correo electrónico controlan las denuncias de spam que recibes. Si demasiadas personas marcan tu correo como spam, tu reputación se ve afectada y tu capacidad de entrega se reduce rápidamente. El umbral máximo permitido por la mayoría de los proveedores es inferior al 0,3 %. Esto se refiere específicamente a las denuncias de spam presentadas por los usuarios, no a las tasas de rebote.

Para reducir el número de quejas, se recomienda enviar mensajes únicamente a las personas que se hayan suscrito. Activa el botón de baja con un solo clic para facilitar a los destinatarios la posibilidad de darse de baja. Controla periódicamente tus índices de spam utilizando calculadoras de spam online.

4. Cabeceras "De" y "Para" válidas

Los proveedores de correo electrónico esperan que utilices direcciones válidas en los campos «De:» y «Responder a:». Las direcciones deben poder recibir correo. El uso de encabezados caducados o no válidos puede provocar que los correos sean devueltos. Los encabezados falsificados o suplantados también pueden dar lugar a fallos temporales y a problemas de entrega.

5. Formato del contenido e higiene de la lista de correo electrónico

Mantén una lista de correo electrónico clara y concisa y asegúrate de que tus correos electrónicos sigan el formato adecuado. El formato del contenido de tus correos electrónicos debe cumplir con el estándar Internet Message Format (IMF), RFC 5322.

6. Cifrado TLS

Tanto Google como Microsoft exigen el cifrado TLS (Transport Layer Security) para todos los correos electrónicos salientes. El TLS garantiza que el correo electrónico se cifre durante su tránsito entre los servidores de envío y recepción, lo que evita los ataques de tipo «hombre en el medio». Para las organizaciones que deseen aplicar el TLS también al correo electrónico entrante, MTA-STS ofrece un mecanismo de políticas para exigir el cifrado TLS a los servidores de envío.

7. Alineación DMARC

Todos los principales proveedores exigen ahora la alineación DMARC: el dominio que aparece en el encabezado visible «De:» debe coincidir con el dominio autenticado mediante SPF o DKIM (o ambos). Una comprobación SPF o DKIM que supere técnicamente la verificación pero que no coincida con el dominio «De:» seguirá fallando en DMARC. Sin alineación, aparecerán errores como 421-4.7.32 de Gmail y 550 5.7.515 de Microsoft.

Para las organizaciones que gestionan configuraciones de envío complejas en múltiples plataformas, DMARC alojado facilita el mantenimiento de la coherencia entre todas las fuentes de envío desde un único panel de control.

Cómo afectará DMARCbis (RFC 9989) a los remitentes masivos en 2026

El 21 de mayo de 2026, el IETF publicó oficialmente las especificaciones de DMARCbis como RFC 9989, 9990 y 9991, sustituyendo al estándar DMARC original (RFC 7489). Aunque esto no modifica directamente los requisitos para los remitentes masivos de Google, Yahoo o Microsoft, tiene importantes implicaciones:

• DMARC es ahora un estándar propuesto (y no solo informativo), lo que implica unas expectativas de implementación más estrictas en todo el ecosistema
• Los formatos de informe actualizados (RFC 9990 y 9991) mejoran la visibilidad de los errores de autenticación
• La especificación actualizada utiliza un algoritmo de recorrido de árbol DNS en lugar de la Lista de Sufijos Públicos
• Las organizaciones que ya cumplen los requisitos actuales para remitentes masivos están bien preparadas para cumplir con DMARCbis

Más información: DMARCbis explicado: qué cambia y cómo prepararse

Plan de acción para remitentes masivos

• Implementar SPF, DKIMy DMARC para tu dominio
• Activar la cancelación de la suscripción con un solo clic (encabezados RFC 8058, no solo un enlace en el pie de página)
• Comprueba tus registros PTR para asegurarte de que son válidos
• Mantén tu tasa de spam por debajo del 0,3 %
• Utiliza encabezados válidos para los campos «De:» y «Responder a:»
• Mantén tus listas de correo actualizadas
• Sigue las directrices de formato de correo electrónico establecidas en el RFC 5322
• Implementar cabeceras ARC para los correos electrónicos reenviados
• Habilitar el cifrado TLS para todos los correos electrónicos salientes
• Comprueba la conformidad con DMARC en todas las fuentes y plataformas de envío
• Supervisa tu estado de cumplimiento en Google Postmaster Tools v2
• Empieza con p=none, pasa a p=quarantine y luego a p=reject mientras se supervisa los informes DMARC

Cómo supervisar el cumplimiento normativo entre los distintos proveedores

Cumplir con la normativa no es algo que se haga una sola vez, sino que requiere una supervisión continua, ya que la infraestructura de envío cambia y los proveedores actualizan sus requisitos:

• Google Postmaster Tools v2: Supervisa el estado de cumplimiento binario de tu dominio (aprobado/suspendido), los índices de spam y los resultados de autenticación. Se ha eliminado la antigua escala de reputación (alta/media/baja).
• Microsoft SNDS (Smart Network Data Services): Comprueba la reputación de tu IP y los índices de correo no deseado para Outlook.com. Microsoft concede gran importancia a la reputación de la IP, por lo que los remitentes que utilicen una IP compartida deben vigilarla de cerca.
• Yahoo Sender Hub: Revisa el rendimiento de tu remitente y las tasas de reclamaciones.
• Panel de control de PowerDMARC: Supervisa las tasas de éxito y fracaso de SPF, DKIM y DMARC, identifica a los remitentes no autorizados y realiza un seguimiento de la coherencia de la autenticación en todas las fuentes de envío desde una única interfaz. La herramienta de informes DMARC de PowerDMARC convierte XML sin procesar en paneles de control con información útil.

Para organizaciones que gestionan varios dominios o plataformas de envío, los servicios gestionados de DMARC pueden gestionar la complejidad del cumplimiento continuo en todos los canales.

Herramientas y recursos para ayudarle a cumplir la normativa

• Compruebe la configuración de SPF, DKIM y DMARC
• Búsqueda y comprobación de registros SPF
• Búsqueda de registros DKIM
• Comprobador de registros DMARC
• Analizar las cabeceras del correo electrónico
• Comprueba la tasa de correo no deseado a través de Google Postmaster Tools
• Consulte las directrices del RFC 5322 sobre el formato de los mensajes

Palabras finales

Las políticas sobre el envío masivo de correos electrónicos se se aplican de forma activa por parte de proveedores como Google, Yahoo, Microsoft y Apple para promover una experiencia de bandeja de entrada más segura y fiable. El incumplimiento de estas normas da lugar ahora al rechazo permanente de los correos electrónicos, lo que hace que estos requisitos sean innegociables para cualquier organización que envíe correos a gran escala.

La convergencia de Google, Yahoo y Microsoft en torno a estándares de autenticación idénticos, junto con la designación de DMARCbis como «estándar propuesto» en mayo de 2026, marca un cambio definitivo en el sector del correo electrónico: la autenticación ya no es opcional. Es el requisito mínimo para acceder a la bandeja de entrada.

Empieza con SPF, DKIMy DMARC, mantén tus listas en buen estado y deja que la autenticación del correo electrónico juegue a tu favor.

Preguntas frecuentes

1. ¿Qué ocurre si no cumplo con los requisitos para remitentes masivos?

A partir de 2026, tus correos electrónicos serán rechazados de forma definitiva (no solo filtrados como spam). Google devuelve el error 550, mientras que Microsoft devuelve el error 550 5.7.515. Los correos electrónicos nunca llegan al destinatario, ni siquiera a ninguna carpeta.

2. ¿Se aplican las normas sobre remitentes masivos a los correos electrónicos transaccionales?

Los requisitos de autenticación (SPF, DKIM, DMARC y registros PTR) se aplican a todos los correos electrónicos, incluidos los transaccionales. Sin embargo, el requisito de baja con un solo clic solo se aplica a los correos electrónicos de marketing y promocionales. Los correos electrónicos transaccionales, como las confirmaciones de pedidos y los restablecimientos de contraseña, están exentos del requisito del encabezado de baja.

3. Envío menos de 5 000 correos electrónicos al día. ¿Se aplican estas normas en mi caso?

El umbral de 5.000 mensajes al día define la clasificación de «remitente masivo», pero tanto Google como Yahoo y Microsoft recomiendan el uso de SPF, DKIM y DMARC para todos los remitentes, independientemente del volumen. Incluso por debajo de ese umbral, la autenticación mejora la capacidad de entrega y protege tu dominio contra la suplantación de identidad.

4. ¿Utiliza Microsoft el mismo umbral que Google?

Sí. A partir de mayo de 2025, Microsoft aplica el mismo límite de 5.000 correos electrónicos al día a sus dominios para particulares (Outlook.com, Hotmail.com, Live.com). Sin embargo, Microsoft da más importancia a la reputación de la IP que Google, por lo que los remitentes que utilizan IP compartidas corren un riesgo adicional.

5. ¿Cuál es la diferencia entre el enlace para darse de baja que aparece en el pie de página y la opción de darse de baja con un solo clic según la norma RFC 8058?

Un enlace en el pie de página obliga al usuario a hacer clic y, posiblemente, a navegar por un centro de preferencias. La función de baja con un solo clic del RFC 8058 utiliza encabezados de correo electrónico especiales (List-Unsubscribe y List-Unsubscribe-Post) que permiten a los proveedores de correo electrónico, como Gmail, mostrar un botón nativo de «Cancelar suscripción» en la parte superior del correo electrónico. El método de los encabezados es lo que exige Google, y no solo un enlace visible en el cuerpo del correo electrónico.

6. ¿Cómo afecta DMARCbis a los requisitos para los remitentes masivos?

DMARCbis (RFC 9989, publicado en mayo de 2026) no modifica directamente los requisitos para remitentes masivos de Google, Yahoo o Microsoft. Sin embargo, eleva DMARC a la categoría de «Propuesta de norma» formal, endurece las reglas de alineación y mejora la generación de informes, lo que hace que una implementación adecuada de DMARC sea aún más importante para el cumplimiento a largo plazo. Véase: DMARCbis explicado

• Acerca de
• Últimas publicaciones

Yunes Tarada

Experto en seguridad de dominios y correo electrónico de PowerDMARC

Yunes es jefe de equipo de operaciones en PowerDMARC con conocimientos especializados en autenticación y seguridad del correo electrónico. Yunes es Administrador Asociado de Azure certificado por Microsoft y cuenta con certificaciones de CompTIA A+ y muchas más.

Últimos mensajes de Yunes Tarada (ver todos)

• Cómo dividir un registro DKIM - 5 de junio de 2026
• compauth=fail: Explicación de la autenticación compuesta de Microsoft - 1 de junio de 2026
• ¿Es suficiente Windows Defender para la seguridad de las pequeñas empresas? - 14 de mayo de 2026