Por qué Gmail rechaza tus correos (y cómo solucionarlo)

Si tus correos a Gmail vuelven rebotados con un código que empieza por 550, no estás ante un fallo pasajero ni ante un capricho del filtro de spam. Estás ante una decisión: Gmail ha mirado tu mensaje, ha visto que no cumple sus requisitos y lo ha devuelto antes de que llegue a ninguna carpeta. Durante casi dos años, el correo que incumplía las reglas que Google y Yahoo anunciaron en octubre de 2023 solía acabar en la carpeta de spam, lo que dejaba una salida: el destinatario diligente que iba a rescatarlo. En noviembre de 2025 esa salida se cerró.

La diferencia importa más de lo que parece. Un mensaje en la carpeta de spam ha llegado igualmente; alguien puede recuperarlo y tú puedes recuperar tu reputación con el tiempo. Un mensaje rechazado no llega: no hay carpeta de la que rescatarlo, ni segunda oportunidad de interacción, solo un rebote en tus registros y un cliente que no recibió su confirmación. Para quien trató la guía de 2024 como una recomendación, el paso del filtrado al rechazo es el momento en que el consejo se volvió obligación.

Qué cambió, exactamente

El 3 de noviembre de 2025, Google añadió una línea a las preguntas frecuentes de sus Directrices para remitentes —el documento que antes se llamaba Directrices para remitentes masivos— avisando de que ese mes intensificaba el enforcement contra el tráfico no conforme, y de que el correo que fallara sufriría interrupciones que incluían rechazos temporales y permanentes. Nada de los requisitos de fondo era nuevo; la novedad fue confirmar que el enforcement, prometido desde hacía tiempo, llegaba en serio.

En la práctica, un régimen blando se volvió duro. Durante 2024 y casi todo 2025 el enforcement había sido, en palabras de la propia Google, de mano ligera: una parte pequeña del correo no conforme veía errores y el resto se colaba a las carpetas de spam. Desde noviembre de 2025 la postura es activa. El correo que falla la autenticación o cruza los umbrales de política se limita primero y se rechaza después en el nivel SMTP, antes de llegar a ninguna carpeta. El periodo de gracia que empezó cuando se anunciaron las reglas se acabó.

Cómo leer el rechazo: los códigos

La ventaja del rechazo es que se explica solo. Donde una colocación en spam era silenciosa —solo te enterabas por la interacción que faltaba—, un rechazo nombra el motivo en su código. Estos son los que conviene reconocer de un vistazo, según la documentación de Google para España y Latinoamérica.

La lectura operativa es sencilla. Los códigos de la serie 4.x son temporales: una postergación que limita tu frecuencia de envío y te pide reintentar, el equivalente SMTP de que te digan que reduzcas el ritmo. Son recuperables; corrige la causa y el correo vuelve a fluir. Los de la serie 5.x son permanentes y definitivos para ese mensaje: un rebote del que solo te salva un reenvío corregido. Como el despliegue es gradual, ignorar las postergaciones 4.x es, en la práctica, aceptar los rechazos 5.x que vienen después.

Por qué Gmail rechaza tu correo: las causas reales

Detrás de casi todos los rebotes 550 hay una de estas razones, y rara vez es la que se sospecha primero.

• Autenticación ausente o mal alineada. La causa más frecuente del 5.7.26. No basta con tener SPF y DKIM: tienen que alinearse con el dominio del remitente visible. Una herramienta nueva que envía sin firmar, o un SPF que ya no cubre tus IPs, basta para fallar.
• DMARC ausente o en p=none mal entendido. Sin DMARC, Gmail no tiene una política que aplicar; con p=none, la tiene pero no hace nada. Cumple el requisito sobre el papel y no protege contra quien suplante tu dominio.
• IP o dominio en lista negra. Si tu IP de envío figura en una lista de bloqueo por historial de spam, muchos servidores —Gmail incluido— rechazan tu correo de entrada.
• Tasa de quejas alta. Por encima del umbral, Gmail actúa con independencia de lo limpia que esté tu autenticación.
• Cabeceras, PTR y TLS. Mensajes mal formados según el RFC 5322, falta de DNS inverso válido o ausencia de TLS en la conexión también provocan rechazos.

Cómo hemos llegado hasta aquí

El cambio de noviembre es el final de un camino visible desde 2023, y la cronología merece tenerse presente, porque cada paso apretó al anterior.

• Octubre de 2023 — Google y Yahoo anuncian conjuntamente los requisitos: autenticación, alineación, baja sencilla, un techo de quejas y cabeceras válidas.
• Febrero de 2024 — empieza el enforcement inicial. Un pequeño porcentaje del correo no conforme empieza a ver errores temporales como el 5.7.26.
• Abril de 2024 — Google empieza a rechazar un porcentaje del correo no conforme, que sube con el tiempo.
• 1 de junio de 2024 — la baja en un clic pasa a ser obligatoria para el correo masivo de marketing.
• Octubre de 2025 — Google retira las Postmaster Tools antiguas y lanza Postmaster Tools v2, que sustituye las notas de reputación por un estado de cumplimiento.
• Noviembre de 2025 — el enforcement sube a rechazo activo. El periodo blando termina.

Leído en conjunto, la lección es que «esto lo arreglamos en 2024» casi nunca equivale a «cumplimos ahora». Cada fase daba por absorbida la anterior, y el paso de noviembre da por hecho que llevas más de un año autenticado y alineado.

Postmaster Tools v2: de la reputación al cumplimiento

El cambio más silencioso de octubre de 2025 puede pesar tanto como el de noviembre. Google retiró el panel antiguo de Postmaster Tools, con sus notas de reputación Alta, Media, Baja y Mala, y lo sustituyó por Postmaster Tools v2, construido en torno a un Estado de cumplimiento binario. El cambio de lenguaje es el cambio de filosofía: durante años una reputación fuerte podía sostener a un remitente pese a algún desliz, y el objetivo era mantener el indicador en verde. Con v2, la primera pregunta no es cómo de buena es tu reputación, sino si cumples los requisitos, sin más.

Eso convierte las viejas notas de reputación en algo necesario pero ya no suficiente. Quien antes se apoyaba en una reputación alta para sobrevivir a una autenticación descuidada ya no tiene ese colchón: el cumplimiento se comprueba primero, y un dominio que no lo pasa no puede recurrir a su historial. Si tu estrategia de entregabilidad era, en esencia, «mantener alta la reputación en Postmaster Tools», v2 es el aviso para reconstruirla en torno a la lista de cumplimiento.

Quién cuenta ahora como remitente masivo

El umbral sigue siendo cinco mil mensajes al día, pero hay dos matices fáciles de errar. El recuento es por dominio de envío hacia las bandejas de entrada de consumo de un proveedor, así que el volumen repartido entre subdominios suma al dominio principal en lugar de dividirse limpiamente. Y Google ha estrechado la definición desde el anuncio original: donde el texto de 2023 cubría el correo tanto a cuentas gratuitas de Gmail como a cuentas de pago de Google Workspace, la guía actual aplica las reglas de remitente masivo al correo enviado a cuentas personales y gratuitas de Gmail. El correo a Workspace se rige por sus propios controles administrativos.

El estrechamiento no es una exención para relajarse. Las expectativas de autenticación, baja y quejas se leen ya como la base para cualquier remitente de cierto peso, masivo o no, porque los filtros favorecen el correo autenticado y bien educado para todos. Un remitente justo por debajo del umbral que se salte la autenticación no está a salvo; sencillamente, todavía no lo rechazan por ello.

Por qué un rechazo es peor que la carpeta de spam

Conviene ser concretos con el coste, porque los equipos que se imaginaban la carpeta de spam tienden a subestimarlo. Un mensaje transaccional rechazado es un restablecimiento de contraseña que no llega, un recibo que el cliente no ve, una confirmación de pedido que genera un ticket de soporte. Un mensaje de marketing rechazado es una campaña que falla en silencio, con el rebote enterrado en registros que el equipo de marketing quizá no lea nunca. En ambos casos el fallo es invisible en el momento del envío y caro en el momento del descubrimiento, que suele ser un cliente confundido o una métrica que se desplomó. La carpeta de spam, al menos, mantenía el correo dentro de casa; el rechazo, no.

Cómo saber si te afecta

Tres señales te dicen dónde estás, y son rápidas de comprobar. La primera son tus registros de rebotes: un aumento de postergaciones 4.7.x o de rechazos 5.7.x desde Gmail, cada uno con su motivo, es la prueba más clara de que el enforcement te ha alcanzado. La segunda es Postmaster Tools v2, donde el Estado de cumplimiento dice ya sin rodeos si tu dominio cumple los requisitos en lugar de dejártelo deducir de una nota de reputación. La tercera es tu propia autenticación: si SPF, DKIM y DMARC no están todos presentes y alineados con el dominio del remitente visible, estás expuesto pase lo que pase hoy en los registros, porque el enforcement es gradual y tu turno llegará.

Cómo solucionarlo, paso a paso

La corrección es la misma lista de siempre, con la urgencia que aporta el cambio de noviembre.

1. Autentica y alinea. SPF, DKIM y DMARC válidos, y alineados con el dominio del From. Lo que pasa el filtro es la alineación, no la mera presencia.
2. Publica DMARC y hazlo avanzar. El registro es obligatorio; una política en p=none cumple la letra y no protege nada, así que planifica el paso a quarantine y luego a reject cuando tus informes estén limpios.
3. Honra las bajas rápido. Baja en un clic en el correo de marketing, procesada en unos dos días, y fuera del correo transaccional para que nadie se dé de baja de un recibo.
4. Mantén bajas las quejas. Por debajo del 0,10 % como objetivo; el 0,30 % es la línea en la que los proveedores actúan con independencia de la autenticación.
5. Valida las cabeceras. Estructura conforme al RFC, DNS inverso válido y TLS en la conexión.
6. Vigila Postmaster Tools v2. Trata su Estado de cumplimiento como el marcador y lee los códigos de rebote como el diagnóstico cuando algo se tuerza.

Si operas tu propio MTA

Para quien envía con su propia infraestructura de PowerMTA o KumoMTA en lugar de un ESP, el cambio de noviembre cae de lleno en la parte de la pila que controlas, y eso es a la vez el riesgo y la ventaja. La autenticación y la alineación se configuran en el MTA y en el DNS, no se compran a una plataforma, así que un dominio de firma DKIM mal alineado o un SPF que ya no cubre tus IPs de envío son tuyos para encontrarlos y corregirlos. Los códigos de postergación también importan en lo operativo: un límite 4.7.x es Gmail pidiendo a tu MTA que afloje, y un MTA que lo ignora machacando la misma cola se gana el trato duro antes. Un buen modelado de tráfico —tasas por proveedor, intervalos de reintento medidos y una postura de backoff de verdad cuando el receptor la pide— forma parte ya de cumplir, no solo de enviar rápido. Esa es la capa en la que trabajamos, y donde un remitente que se autohospeda tiene el control más directo sobre el resultado.

Dónde tropiezan los que parecen estar en regla

La mayoría de los rechazos que nos piden explicar vienen de remitentes que se creen conformes, y la causa suele ser uno de unos pocos huecos corrientes.

• Una herramienta nueva de marketing o ventas empezó a enviar como el dominio sin añadirse al SPF ni firmarse con DKIM.
• Se rotó una clave DKIM y un flujo siguió firmando con el selector retirado, o dejó de firmar.
• Un reenviador o una lista de distribución rompió la firma DKIM en tránsito, de modo que la autenticación que pasaba en origen falló al llegar; ahí entra ARC.
• Una limpieza de DNS alteró el SPF y lo empujó por encima del límite de diez consultas, haciéndolo fallar.
• Un subdominio empezó a enviar sin su propia autenticación, apoyado en un registro del dominio padre que no lo cubre.

Ninguno se anuncia hasta que empiezan los rebotes, por lo que «esto lo montamos en 2024» merece volver a comprobarse contra lo que de verdad sale hoy de tus sistemas.

Tras el rechazo: cómo es la recuperación

Corregir el hueco de cumplimiento detiene rápido los rechazos nuevos: una vez arreglada la autenticación y la alineación, las postergaciones y los rebotes 5.7.x ceden en uno o dos ciclos de envío. La reputación es más lenta. Una racha de correo rechazado, postergado o con quejas deja una marca en cómo Gmail pondera tu dominio, y esa marca dura más que el arreglo; la puerta de cumplimiento se reabre antes que la bandeja de entrada. El camino de vuelta es la disciplina de un arranque en frío y no un interruptor: baja el volumen, envía primero a los destinatarios con más probabilidad de abrir y responder, y reconstruye la señal de correo deseado a lo largo de días y semanas. Reanudar el volumen completo a la mañana siguiente de corregir los registros es como un remitente recién recuperado se gana otra ronda de problemas.

Conviene separar los dos relojes: el cumplimiento, que arreglas esta tarde, y la reputación, que recuperas durante semanas. Confundirlos es lo que convierte un problema resuelto en uno recurrente. Y vigila la tasa de rebotes según subes volumen: un segundo pico de postergaciones durante la rampa es la señal de frenar otra vez, no de empujar.

Separa el transaccional del marketing

Los remitentes a los que más daña el cambio suelen ser los que envían el correo transaccional y el de marketing por el mismo dominio y la misma reputación. Cuando una campaña dispara las quejas o falla la autenticación, el rechazo no se queda educadamente en la campaña: cae sobre la identidad de envío compartida, y los restablecimientos de contraseña y los recibos que viajan con ella empiezan a rebotar también. La solución es separar: envía el correo transaccional desde un subdominio propio, con su autenticación y su reputación limpias, aislado de lo que haga el flujo de marketing. Es el cambio estructural que más reduce el radio de daño de un desliz de cumplimiento, y el enforcement de noviembre hace ese argumento mucho más difícil de posponer.

Lo que no arregla el problema

Ante una racha de rechazos, la reacción instintiva suele ir por el camino equivocado. Cambiar de IP sin corregir la autenticación solo traslada el problema a una IP nueva y sin historial, que parte de cero y a menudo peor. Bajar el volumen ayuda a la reputación, pero no resuelve un fallo de alineación: un correo no autenticado se seguirá rechazando, envíes mil o cien mil. Reenviar el mismo mensaje una y otra vez contra un 5.7.x permanente no cambia el resultado y empeora la señal. Y «pedirle a Google que nos deje en paz» no es una palanca: el enforcement es automático y se apoya en lo que tu correo demuestra en cada conexión, no en una apelación. Lo único que reabre la puerta es cumplir el requisito que la cerró, y después ganarse de nuevo la reputación con envíos limpios.

El panorama más amplio

Gmail no actúa solo, y eso es lo que convierte noviembre de 2025 en un hito y no en la política de un único proveedor. Yahoo aplica los mismos requisitos desde febrero de 2024, y Microsoft empezó a aplicar los suyos en mayo de 2025 —con el conocido 550 5.7.515—, así que un dominio con autenticación débil queda hoy expuesto a la vez ante los proveedores que mueven la mayor parte del correo. Un registro DMARC mal configurado ya no es el problema de una sola bandeja de entrada: es un hueco que varios grandes proveedores penalizarán por separado. La convergencia es la cuestión: el sector se ha asentado sobre una base común, y el coste de ignorarla se multiplica con cada proveedor que la adopta.

Nuestra lectura es poco romántica. El cumplimiento es ya el precio de entrada, no una ventaja competitiva: cumplirlo te da derecho a competir por la bandeja de entrada, no la garantiza. A partir de aquí saldrán bien los remitentes que tratan la autenticación y la higiene como infraestructura resuelta y gastan su esfuerzo donde de verdad se decide la colocación, en la reputación y la interacción que viven por encima de la puerta. Si no tienes claro de qué lado de esa puerta estás, la forma más rápida de averiguarlo es mirar: lee tus códigos de rebote de Gmail, comprueba tu Estado de cumplimiento y confirma tu alineación. Y si prefieres que lo revisemos a fondo, nuestra auditoría gratuita de 25 puntos hace justo eso en toda tu configuración.

Fuentes: Directrices para remitentes de Google Workspace y su documentación de errores SMTP de Gmail (España y Latinoamérica), actualizadas a noviembre de 2025; PowerDMARC; cobertura del sector, 2025–2026. Los códigos de error siguen la guía publicada por Google.