Los emails acaban en spam a pesar de SPF y DKIM: por qué

Causa 2: el contenido activa filtros

Los filtros antispam analizan siempre el contenido, incluso para el correo autenticado. Algunos disparadores clásicos:

• Demasiados enlaces, sobre todo hacia dominios distintos del dominio emisor o acortadores de URL.
• Un ratio texto/imagen desequilibrado — un email que es una sola imagen grande se parece a una técnica de evasión de filtros.
• Palabras clave asociadas históricamente al spam («gratis», «urgente», mayúsculas excesivas, signos de exclamación múltiples).
• Un HTML mal formado — código generado por una herramienta defectuosa, etiquetas sin cerrar, estructura inválida.
• La ausencia de una versión en texto plano junto al HTML, cuando muchos filtros esperan encontrarla.

Ninguna de estas señales es descalificante por sí sola, pero se suman. Un email autenticado con un contenido que dispara varias alertas puede irse a correo no deseado allí donde el mismo email con un contenido limpio habría pasado.

Causa 3: el comportamiento de interacción de los destinatarios

Gmail, Yahoo y Outlook observan cómo interactúan sus usuarios con el correo recibido — y ajustan el filtrado en consecuencia, con independencia de la autenticación. Si una parte significativa de los destinatarios ignora sistemáticamente los mensajes de un remitente (nunca abiertos, nunca clicados), o peor, los marca como no deseados, el filtro aprende a tratar todo ese flujo con más sospecha, incluso los mensajes hacia destinatarios que estarían encantados de recibirlos.

Es un efecto colectivo: el comportamiento de la minoría desenganchada degrada la entregabilidad de todos. La defensa es la higiene de lista — retirar a los inactivos prolongados en lugar de seguir contactándolos indefinidamente. El tema se desarrolla en detalle en entregabilidad Gmail: la guía completa.

Causa 4: un volumen o un ritmo de envío inusual

Un pico de envío repentino — una campaña excepcional, un cambio de plataforma con migración de todo el histórico de golpe — se parece estadísticamente a un comportamiento de abuso, aunque venga de un remitente por lo demás impecable. Los filtros reaccionan a la anomalía de ritmo, no solo al contenido del mensaje. Un cambio de plataforma de envío o un fuerte aumento de volumen piden una subida progresiva en lugar de un salto brusco.

Causa 5: el dominio o la IP han sido incluidos en una lista negra

Más radical: el dominio o la IP figura en una lista negra de un tercero (Spamhaus y equivalentes), a raíz de un incidente pasado — a veces un incidente que ha pasado completamente desapercibido, como una compromisión puntual o el uso anterior de esa IP por otro cliente en una infraestructura compartida. Las listas negras son verificables mediante herramientas dedicadas en línea; la mayoría ofrecen también un procedimiento de retirada una vez corregida la causa.

Causa 6: cifrado del transporte ausente o degradado

Señal más sutil pero real en algunos destinatarios estrictos: la ausencia de cifrado TLS durante el transporte SMTP puede jugar en contra del remitente, en particular frente a políticas de seguridad reforzadas del lado del destinatario. Poner MTA-STS garantiza que el transporte se mantenga cifrado e impide una degradación forzada hacia texto claro — ver MTA-STS, qué es y para qué sirve. No suele ser la causa principal de un email en spam, pero es un factor que se suma a los demás en los destinatarios más exigentes — bancos, administraciones, grandes grupos que aplican políticas de seguridad estrictas sobre el correo entrante.

El caso de los destinatarios aislados frente al flujo entero

Una distinción práctica ayuda a orientar el diagnóstico más rápido: ¿es un destinatario concreto el que recibe sistemáticamente el correo en spam, o una parte significativa del flujo? Las causas no son las mismas.

Si es un destinatario aislado (o un puñado), la causa vive a menudo en su lado: un filtro personal que ha configurado por error, un antiguo aviso de spam que emitió en el pasado y que se queda pegado a la dirección del remitente en su cliente de correo, o una regla de filtrado corporativo demasiado agresiva del lado del destinatario. La solución pasa generalmente por pedirle que verifique sus propios ajustes o que añada al remitente a sus contactos — no es un problema que se pueda resolver unilateralmente.

Si es una parte significativa del flujo, la causa es estructural — reputación, contenido, o comportamiento de interacción — y merece la investigación completa descrita más arriba. Optimizar para un caso aislado pensando que resuelve un problema en realidad generalizado es tiempo perdido; y a la inversa, tampoco hay que tratar como estructural lo que no es más que un ajuste personal en un solo destinatario.

El filtrado no es global: cada proveedor juzga por separado

Otro reflejo que acelera el diagnóstico: «el correo acaba en spam» no es un hecho único y uniforme. Gmail, Outlook y Yahoo hacen funcionar cada uno sus propios filtros, sus propios sistemas de reputación y sus propios modelos de interacción — y no comparten sus veredictos. Es perfectamente normal que una misma campaña llegue a la bandeja de entrada en Gmail y a correo no deseado en Outlook, o al revés. Antes de nada, las observaciones se segmentan pues por proveedor destinatario. Si filtra un solo proveedor, la atención se concentra en sus palancas específicas — su consola de postmaster cuando existe, sus exigencias conocidas, el histórico de reputación acumulado con él. Si filtran todos a la vez, la causa está casi con certeza del lado del remitente — reputación, contenido o lista — y las causas estructurales repasadas más arriba se aplican en bloque.

Método de diagnóstico, en orden

Ante un email legítimo que se ha ido a spam, el orden de verificación es este:

1. El mensaje concreto ¿fallaba realmente DMARC (alineación), a pesar de una autenticación globalmente correcta? El informe agregado de esa fecha y esa fuente lo dice.
2. La reputación de IP/dominio ¿está degradada? Postmaster Tools y las listas negras dan la respuesta.
3. El contenido de ese mensaje ¿contiene señales de alerta (enlaces, imagen sola, palabras clave)?
4. La tasa de interacción reciente de la lista ¿se ha degradado?
5. ¿Ha habido un cambio de volumen o de plataforma reciente sin subida progresiva?

Cada una de estas causas tiene un remedio distinto — el error sería volver una y otra vez a la configuración DMARC pensando que forzosamente tiene que ser la culpable, cuando el problema vive en otro punto de la cadena. Tratar esta lista como una lista de comprobación de diagnóstico, a recorrer en orden en lugar de al azar, hace ganar un tiempo considerable — la mayoría de los casos se resuelven encontrando la causa correcta entre las seis, no buscando una séptima explicación exótica.

Lo que DMARC en p=reject no puede corregir

Hay que ser claro sobre un límite: endurecer la política DMARC protege contra la suplantación de identidad del dominio, no contra los problemas de reputación o de contenido de los envíos legítimos propios. p=reject garantiza que lo que llega autenticado en nombre del dominio viene realmente de él — lo que, indirectamente, ayuda a su reputación al eliminar la contaminación de un suplantador. Pero si el problema es la higiene de lista o el contenido, DMARC no cambiará nada. Ambos frentes — autenticación y entregabilidad conductual — avanzan en paralelo, no el uno en lugar del otro. Muchos equipos se paran una vez endurecido DMARC, satisfechos de haber «arreglado la seguridad del email», sin darse cuenta de que la entregabilidad conductual requiere una atención continua, no un proyecto puntual que se marca y se olvida.

Para verificar que la capa de autenticación es impecable y descartar esta causa con certeza, el analizador DMARC gratuito acepta cualquier dominio: es el punto de partida fiable antes de ir a buscar más lejos en la reputación o el contenido — y a menudo la forma más rápida de saber si hay que seguir escarbando por el lado de DMARC o pasar directamente a la siguiente etapa del diagnóstico.