Por qué los correos de tu sitio web llegan a spam

El sitio está listo, el formulario de contacto funciona, y una semana después descubres que tres cotizaciones estaban en la carpeta de spam. O peor: nunca llegaron.

Es uno de los problemas más frustrantes de un sitio web, porque no se ve. La página carga bien, el formulario muestra “mensaje enviado” y nadie sospecha nada hasta que un cliente reclama que escribió y no le respondieron.

La buena noticia es que casi siempre es el mismo puñado de causas, y ninguna tiene que ver con lo que dice el correo.

Primero: separa dos tipos de correo distintos

Se confunden todo el tiempo y se arreglan distinto.

• Correo transaccional: la notificación que te llega cuando alguien completa el formulario, la confirmación de compra, el aviso de despacho. Sale automáticamente desde tu sitio.
• Correo comercial: newsletters, campañas, promociones. Sale desde una plataforma de envío masivo.

Este artículo se enfoca en el primero, que es el que más silenciosamente rompe un negocio: si no llegan las cotizaciones, el sitio no está trabajando para ti, y da lo mismo cuánto tráfico traigas.

Por qué Gmail y Outlook desconfían de tu correo

El correo electrónico se diseñó sin verificación de identidad. Cualquier servidor puede afirmar que envía en nombre de cualquier dominio. Para tapar ese hoyo se construyeron tres capas, y hoy son el filtro principal:

SPF es una lista publicada en el DNS de tu dominio que declara qué servidores tienen permiso para enviar correo en tu nombre. Si el mensaje llega desde un servidor fuera de esa lista, es sospechoso.

DKIM es una firma criptográfica en el mensaje. Prueba dos cosas: que el correo salió realmente de tu dominio y que nadie lo alteró en el camino.

DMARC es la política. Le dice al proveedor del destinatario qué hacer cuando SPF y DKIM no cuadran: dejar pasar, mandar a spam o rechazar.

Ninguna de las tres es opcional en la práctica. Son la diferencia entre que tu correo se evalúe por su contenido o se descarte antes de leerlo.

Qué exige Gmail hoy, en concreto

Google publica sus requisitos en las directrices para remitentes de Gmail, y distingue dos niveles.

A todos los remitentes, sin importar volumen:

• Configurar autenticación con SPF o DKIM en los dominios de envío.
• Tener registros DNS válidos en ambos sentidos, es decir, también el registro inverso (PTR) de la IP que envía.
• Usar una conexión TLS para transmitir el correo.
• Mantener la tasa de spam por debajo del 0,30% según Postmaster Tools.
• Cumplir el formato estándar de mensaje (RFC 5322).
• No suplantar a nadie en el encabezado “De:”. Google es explícito: aplicará política de cuarentena DMARC a los mensajes que lo hagan.

A quienes envían 5.000 o más mensajes diarios a cuentas de Gmail se les suma:

• Configurar DMARC en el dominio de envío.
• Alineación: el dominio del encabezado “De:” debe coincidir con el de SPF o con el de DKIM.
• Baja con un clic en mensajes de marketing y suscripción.

La mayoría de las PYMEs chilenas no llega a 5.000 correos diarios. Pero fíjate en el detalle importante: el primer nivel sí te aplica, y ahí ya aparece la exigencia de SPF o DKIM y la prohibición de suplantar el campo “De:”.

Microsoft fue todavía más estricto con el alto volumen. Desde el 5 de mayo de 2025, los envíos de 5.000 o más correos diarios hacia outlook.com, hotmail.com y live.com que no cumplan SPF, DKIM y DMARC alineado se rechazan con error 550 5.7.15, en vez de ir a la carpeta de no deseados. No es un filtro: el mensaje no se entrega.

El error número uno: el formulario que suplanta al visitante

Este es el que encontramos con más frecuencia, y viene de fábrica en muchos plugins y plantillas.

Una persona completa tu formulario con su correo [email protected]. El sitio arma la notificación y, para que puedas responder cómodamente, pone en el campo “De:” la dirección de María. El correo sale desde el servidor de tu hosting.

Desde el punto de vista de Gmail, acaba de llegar un mensaje que dice venir de gmail.com pero que salió de un servidor que gmail.com nunca autorizó. Eso es exactamente el patrón que SPF y DMARC existen para bloquear. Y Google lo dice sin rodeos en sus directrices: no suplantes a nadie en el encabezado “De:”.

La corrección es simple y no cambia nada en tu experiencia:

• En “De:”, siempre una dirección de tu propio dominio ([email protected]).
• En “Responder a” (Reply-To), la dirección del visitante.

Sigues respondiendo con un clic, pero el correo deja de fingir ser de otro. Es un ajuste de minutos que resuelve una parte enorme de los casos.

El error número dos: enviar con la función de correo del servidor

Muchos sitios envían usando la función nativa de correo del servidor compartido. Funciona, en el sentido de que el mensaje sale. Pero sale desde una IP compartida con decenas de sitios vecinos, sin firma DKIM y muchas veces sin registro inverso configurado.

Si uno de esos vecinos manda spam, la reputación de la IP se arrastra y tus correos pagan el costo. Es una de las cosas que conviene preguntar antes de contratar, junto con las demás que revisamos en cómo elegir hosting web en Chile.

La alternativa es enviar por SMTP autenticado a través de un servicio de correo transaccional. El mensaje sale firmado, desde infraestructura con reputación cuidada, y además queda registro de qué se envió y qué pasó con cada correo. Ese registro es oro cuando un cliente asegura que escribió y no le contestaron.

El error número tres: el dominio recién estrenado

Un dominio nuevo no tiene historial. Para los filtros, eso no es neutro: es incertidumbre.

Si acabas de registrar tu dominio y lo primero que hace es disparar cientos de correos, el arranque va a ser malo. Conviene partir con volumen bajo, con destinatarios que efectivamente abren y responden, y crecer de a poco. No es un truco de marketing: es cómo se construye reputación de envío.

Cómo diagnosticarlo en quince minutos

No necesitas herramientas pagadas para saber dónde estás parado.

1. Manda un correo de prueba desde tu propio formulario a una cuenta de Gmail que controles. Usa el formulario real del sitio, no el botón de prueba del panel.

2. Abre el mensaje original. En Gmail, menú de tres puntos y “Mostrar original”. Busca la línea Authentication-Results y lee los tres resultados: spf=, dkim= y dmarc=. Si aparece fail o none, ya sabes por dónde empezar.

3. Revisa el campo “De:”. Si dice el correo del visitante en vez de uno de tu dominio, ese es tu problema principal.

4. Registra tu dominio en Google Postmaster Tools. Te muestra la tasa de spam real de tu dominio, que es el indicador que Google usa para decidir si te tolera.

5. Prueba desde otro proveedor. Manda la misma prueba a una cuenta de Outlook. Los criterios no son idénticos y a veces el problema aparece solo en uno.

Con eso ya sabes si el problema es de configuración del dominio, de cómo envía el formulario o de reputación acumulada. Son tres arreglos distintos.

Qué hacer, en orden

1. Corrige el “De:” del formulario. Es lo más barato y lo que más rinde.
2. Publica SPF y DKIM para tu dominio, incluyendo todos los servicios que envían en tu nombre: el hosting, la plataforma de correo y el servicio transaccional.
3. Agrega DMARC en modo p=none para empezar a recibir reportes sin bloquear nada. Cuando confirmes que todo lo legítimo pasa, puedes endurecerlo.
4. Cambia a envío SMTP autenticado si el sitio está usando la función de correo del servidor compartido.
5. Deja el monitoreo andando. Los registros DNS se rompen cuando alguien migra el hosting o suma una herramienta nueva y no avisa. Es parte de lo que cubre un plan de mantención de sitio web, y es la clase de detalle que nadie nota hasta que falla.

En resumen

• Que tus correos caigan en spam casi nunca es culpa del contenido; es de autenticación.
• Gmail exige a todos los remitentes SPF o DKIM, DNS válido en ambos sentidos, TLS y tasa de spam bajo 0,30%.
• Los requisitos extra (DMARC, alineación, baja con un clic) parten en los 5.000 mensajes diarios a Gmail.
• Outlook rechaza el correo de alto volumen no autenticado, no lo manda a spam.
• El error más común en sitios de PYMEs es poner el correo del visitante en el campo “De:”. Va en “Responder a”.

Un formulario que no entrega es un problema de conversión disfrazado de problema técnico: pierdes el cliente sin enterarte. Si tienes la sospecha de que te están escribiendo y no te está llegando, y de paso quieres revisar por qué tu sitio tampoco aparece en Google, escríbenos y lo revisamos contigo.