Requisitos de Gmail, Yahoo y Outlook para remitentes: lo que necesita tu DNS
Desde febrero de 2024 Gmail y Yahoo rechazan el correo que no demuestra de dónde viene, y en mayo de 2025 se sumó Outlook.com. Las reglas no son tecnología nueva —SPF, DKIM y DMARC existen desde hace años—, pero han dejado de ser opcionales. Casi todo el trabajo está en el DNS y cabe en una tarde.
A quién afecta
Las reglas cubren el correo enviado a buzones personales: direcciones gmail.com, de Yahoo y de AOL, y outlook.com, hotmail.com y live.com. Algunas se aplican a todo remitente; el resto entra en vigor cuando envías unos 5.000 mensajes al día o más a uno de esos proveedores.
| Requisito | Todo remitente | 5.000+ al día |
|---|---|---|
| Autenticación | SPF o DKIM | SPF y DKIM |
| Registro DMARC | Recomendado | Obligatorio, al menos p=none |
| Dominio From alineado con SPF o DKIM | Recomendado | Obligatorio |
| DNS directo e inverso de la IP de envío | Obligatorio | Obligatorio |
| TLS al entregar | Obligatorio | Obligatorio |
| Tasa de quejas por spam | Por debajo del 0,3 % | Por debajo del 0,3 %, ideal 0,1 % |
| Baja con un clic (RFC 8058) | Recomendada | Obligatoria en correo comercial |
news.example.com y de example.com se suma, y un dominio que ha superado el umbral una vez queda clasificado para siempre como remitente masivo.La parte del DNS
Cuatro tipos de registros hacen el trabajo. Tus servicios de envío (Google Workspace, Microsoft 365, herramientas de newsletter, la tienda) te dan su include de SPF y su clave DKIM; tú los publicas en tu dominio:
; SPF — every service that sends as you, ending in ~all or -all
example.com. IN TXT "v=spf1 include:_spf.google.com include:_spf.esp.example ~all"
; DKIM — the public key your sending service gives you (often a CNAME)
s1._domainkey.example.com. IN CNAME s1.dkim.esp.example.
; DMARC — p=none is the minimum; rua collects the reports
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; PTR — set by whoever owns the IP, must match an A record
80.113.0.203.in-addr.arpa. IN PTR mail.example.com.- Alineación significa que el dominio de la dirección From visible coincide con el dominio que superó SPF (el remitente del sobre) o DKIM (el
d=de la firma). Una herramienta de newsletter que firma con su propio dominio supera DKIM, pero no está alineada: activa su opción de dominio propio o «dominio autenticado». - Un solo registro SPF por dominio, con menos de 10 consultas DNS. Añadir un servicio más suele romperlo; la guía de SPF explica el límite.
- El PTR lo configura el dueño de la dirección IP —tu proveedor de VPS o de hosting—, no tu zona DNS. Con Google, Microsoft o un servicio de envíos ya está hecho. Consulta registros PTR.
- Nunca envíes como `@gmail.com` ni con ninguna dirección que no controles: la propia política DMARC de Gmail lo rechaza.
Baja con un clic
El correo comercial y de suscripción de los remitentes masivos debe llevar dos cabeceras con las que el buzón muestra su propio botón de baja. Al pulsarlo se hace una petición POST a tu URL, sin página de destino ni inicio de sesión:
List-Unsubscribe: <https://example.com/u/8f3a2c>, <mailto:[email protected]?subject=8f3a2c>
List-Unsubscribe-Post: List-Unsubscribe=One-Click- Tramita la baja en un máximo de dos días.
- Firma ambas cabeceras con DKIM o los receptores las ignorarán.
- Mantén además un enlace de baja visible en el cuerpo del mensaje.
- El correo transaccional —recibos, restablecimiento de contraseña, avisos— no lo necesita.
Mantén las quejas por debajo del 0,3 %
La tasa de quejas es la parte de los mensajes entregados que los destinatarios marcan como spam. Por encima del 0,3 % el correo empieza a ir a spam o a ser rechazado, y recuperarse cuesta semanas de envíos limpios. Las dos palancas que importan: enviar solo a quien lo pidió y facilitar la baja.
Lista de comprobación
Qué pasa si no cumples
El correo que no cumple recibe primero errores temporales y acaba en spam; después, rechazo directo. Gmail responde con códigos como 5.7.26 (remitente no autenticado) y Outlook.com con 5.7.515 (el dominio remitente no alcanza el nivel de autenticación exigido). El rebote llega al remitente, no al destinatario, así que el problema suele pasar inadvertido hasta que los clientes dicen que nunca recibieron la factura.
p=none, lee los informes agregados durante unas semanas: un remitente olvidado —el CRM, la herramienta de facturación— empezará a fallar en cuanto apliques la política. Cómo configurar DMARC lo explica paso a paso.Preguntas frecuentes
¿Se aplican las reglas si envío menos de 5.000 correos al día?
Las básicas sí: SPF o DKIM, PTR válido, TLS y una tasa de quejas baja. DMARC, la alineación y la baja con un clic solo son obligatorias por encima del umbral, pero conviene tenerlas igualmente.
¿Basta con DMARC p=none?
Para el requisito, sí. Pero no protege tu dominio de la suplantación: para eso hace falta p=quarantine o p=reject cuando los informes muestren que todos los remitentes legítimos pasan.
¿Los recibos y los restablecimientos de contraseña necesitan cabecera de baja?
No. La baja con un clic es obligatoria en el correo comercial y de suscripción, no en los mensajes transaccionales.
¿Se aplican las reglas a destinatarios de Google Workspace o Microsoft 365?
Los requisitos publicados apuntan a buzones personales, pero los buzones de empresa usan filtros parecidos, así que la misma configuración es la que hace llegar el correo también allí.
Ve la teoría en la práctica: ejecuta Comprobación de seguridad del correo para tu propio dominio.
Actualizado el 13 de octubre de 2026