Si tu tienda online envía emails —confirmaciones de pedido, recuperación de carrito, newsletters, campañas de temporada— y no sabes qué porcentaje está llegando a la bandeja de entrada, esta guía es para ti. Aquí van, sin rodeos y sin jerga, los mimbres de la entregabilidad de email en 2026: qué hay que tener bien, qué hay que dejar de hacer y cómo saber si lo estás haciendo bien.

Está pensada para ecommerces españoles: usaremos las herramientas más comunes por aquí (Shopify, WooCommerce, PrestaShop, Klaviyo, Mailchimp, Brevo), tocaremos RGPD y LSSI cuando toque, y todo con euros y proveedores reales, no traducciones automáticas de guías gringas.

Por qué hablamos de entregabilidad en 2026

Desde febrero de 2024, Gmail y Yahoo endurecieron los requisitos para quien envía volumen (más de 5.000 emails al día a sus usuarios): autenticación técnica obligatoria, tasas de queja bajo control y opción de darse de baja en un clic. No es teoría — el que no cumple, ve cómo sus campañas caen a spam día tras día, primero al 10%, luego al 40%, hasta que un día abre Klaviyo y la tasa de apertura media es del 8%. Y ya no lo recupera fácil.

En 2026 el estándar sigue subiendo. DMARC deja de ser "opcional para pequeñas tiendas" y se convierte en tabla rasa: si no lo tienes, no importa qué copywriter contrates, tus ofertas del Black Friday se quedan sin ver. Y con el crecimiento del ecommerce en España, los proveedores de correo ya no te dan margen por ser "pequeño" — te miden con los mismos filtros que a Amazon.

La buena noticia: la entregabilidad se compone de piezas concretas, medibles y arreglables. Ninguna de ellas es magia. Vamos por partes.

Los tres pilares técnicos: SPF, DKIM y DMARC

Se dicen mucho juntos porque son los tres registros de texto que decides colocar en el DNS de tu dominio para que Gmail, Yahoo y compañía sepan que el email que dice venir de ti realmente es tuyo. Sin ellos, tus envíos parten con desventaja en cada bandeja. Con ellos correctamente configurados, empiezas con crédito.

SPF: quién puede enviar en tu nombre

Qué es: una línea pública en tu DNS que enumera los servidores autorizados a mandar correo con tu dominio como remitente. Ejemplo: v=spf1 include:_spf.google.com include:sendgrid.net -all.

Los 3 errores que vemos más:

  1. No incluir al proveedor real. Montaste el SPF con Google Workspace y luego contrataste Klaviyo — pero nadie actualizó el registro. Klaviyo envía miles de emails que tu propio dominio desautoriza.
  2. Pasarse del límite de 10 consultas DNS. Cada include cuenta. Google + Shopify + Klaviyo + CRM ya está en el filo. Cuando pasas, el SPF entero deja de validar — en silencio.
  3. Tener dos registros SPF. Solo puede haber uno. Si el instalador de una app te añadió otro, ambos quedan invalidados.

Puedes comprobar tu SPF en segundos con nuestro comprobador de SPF gratis — te dice si existe, si autoriza al proveedor que estás usando y si estás cerca del límite.

DKIM: la firma digital de cada email

Qué es: una firma criptográfica que tu proveedor de email añade a cada mensaje. Gmail toma esa firma, la compara con la clave pública que has publicado en tu DNS y confirma que el email no ha sido manipulado desde que salió de tu servidor.

Cómo va mal: normalmente tu proveedor (Klaviyo, Mailchimp, Brevo, Shopify, etc.) te da un par de registros CNAME o TXT para pegar en tu DNS. Si los pegas mal, o si dejas la clave por defecto del proveedor sin autenticar tu dominio, tus emails van sin firma y Gmail los mira con lupa.

Selectores: cada proveedor usa el suyo. Klaviyo suele ser klaviyo1._domainkey. Shopify Email es shopifyemail._domainkey. Si no sabes el tuyo, nuestro comprobador de DKIM prueba los 15 selectores más comunes y te dice cuál está activo.

DMARC: la política y el chivato

Qué es: un registro que le dice a Gmail qué hacer si un email dice ser tuyo pero no pasa ni SPF ni DKIM. Tres políticas posibles:

  • p=none — solo mírame, no bloquees nada. Modo "informe" para ver quién está enviando en tu nombre sin cortar nada.
  • p=quarantine — los sospechosos van a spam.
  • p=reject — los sospechosos se rechazan directamente.

El camino recomendado:

  1. Empieza con p=none y una dirección de informes (rua=mailto:...). Durante 2-4 semanas ves quién envía en tu nombre — a veces descubres apps antiguas o servicios que tenías olvidados.
  2. Sube a p=quarantine cuando estés seguro de que todos tus envíos legítimos pasan SPF o DKIM.
  3. Sube a p=reject cuando lleves un par de meses sin sorpresas en los informes.

Puedes crear tu registro DMARC en 2 minutos con nuestro generador de DMARC, y comprobar el estado del actual con el comprobador de DMARC.

Lo que Gmail y Yahoo exigen desde 2024

Para remitentes de volumen (5.000+ emails/día a usuarios de Gmail):

  • SPF y DKIM alineados con el dominio del remitente.
  • DMARC como mínimo con p=none y rua configurado.
  • Enlace de baja en un clic (List-Unsubscribe RFC 8058).
  • Tasa de quejas por debajo del 0,3% — pásate y empiezan a filtrar.
  • Cabecera Precedence: bulk o similar en marketing masivo.

Puedes profundizar en cada requisito en nuestro artículo Qué es DMARC y por qué Gmail y Yahoo lo exigen.

La otra mitad: la calidad de la lista

Puedes tener SPF, DKIM y DMARC en verde y aun así ver tus tasas de apertura caer. Porque la autenticación técnica es una condición necesaria pero no suficiente. Lo otro que Gmail mide, y mide muy fino, es cómo se comportan los que reciben tus emails: ¿los abren, o los mandan a spam? ¿Rebotan? ¿Se dan de baja de inmediato?

Y eso, en un ecommerce, empieza y termina en la calidad de la lista.

Qué hace "sucia" a una lista

  • Emails muertos: direcciones que ya no existen. Trabajos cambiados, buzones cancelados, dominios corporativos que desaparecieron. Cada envío a uno de estos es un rebote fuerte, y los rebotes fuertes cuentan negativo en tu reputación.
  • Duplicados: el mismo cliente registrado dos o tres veces con pequeñas variantes ("Juan.Perez", "juan.perez", "juan.perez+shopify"). No hace daño técnico directo, pero infla tu métrica y confunde tu segmentación.
  • Spam traps: direcciones que los proveedores de correo dejan por ahí para pillar a listas mal cuidadas. Enviar a una es una alerta roja para Gmail.
  • Emails temporales / desechables: de dominios tipo 10minutemail.com. Sirven para bajar un lead magnet y desaparecer — nunca van a comprar y muchos rebotan a las horas.

Cuánto te cuesta tener una lista sucia

La cuenta es directa. Klaviyo, Mailchimp, Brevo y compañía te cobran por contactos guardados, no por contactos activos. Un email muerto de hace 4 años que no ha abierto nada sigue engordando tu factura mes tras mes. Y encima:

  • Baja tu tasa de apertura media (más denominador, menos numerador).
  • Sube tu tasa de rebote (los muertos rebotan).
  • Baja la reputación de tu dominio (los rebotes cuentan).
  • Manda tus siguientes campañas a spam (efecto acumulativo).

En nuestra calculadora de pérdidas por lista sucia puedes ver una estimación honesta de cuánto se te va cada mes. Si quieres el dato exacto de tu lista, hace falta analizar tu dominio — es gratis y tarda 30 segundos.

Higiene mínima: qué hacer, cada cuánto

  • Doble opt-in en formularios nuevos: filtra emails escritos con typos y bots que rellenan tu formulario buscando SEO. Es el filtro más rentable que puedes activar. Lo explicamos con detalle en Doble opt-in en tu tienda online.
  • Limpieza técnica trimestral: verificar sintaxis, MX, dominios que ya no existen, disposable domains. En listas de más de un año, sale entre 8% y 30% para tirar.
  • Sunset a inactivos: quien no abre un email en 6 meses ya no es tu lista real. Bájalo a "solo transaccionales" o retíralo. Duro pero necesario.
  • Segmentación por engagement: manda campañas a los que abren últimamente. Manda menos a los que no. Gmail lo mira y premia esa disciplina.

Reputación de dominio: qué es y por qué importa

Gmail, Outlook, Yahoo, iCloud… todos los proveedores mantienen un "score" interno de tu dominio y de la IP desde la que envías. No es público, pero afecta cada uno de tus envíos: mayor score → más probabilidad de bandeja de entrada; menor score → más probabilidad de spam o directamente rechazo.

Qué sube tu reputación:

  • SPF, DKIM y DMARC bien.
  • Baja tasa de rebote (por debajo del 2%).
  • Baja tasa de queja (por debajo del 0,3%).
  • Aperturas y clicks reales.
  • Enviar cantidades constantes (nada de "0 emails por 3 meses y de golpe 50.000" — eso es exactamente el patrón de un spammer).

Qué la baja:

  • Rebotes duros seguidos.
  • Quejas de usuarios ("marcar como spam").
  • Aparecer en listas negras públicas (Spamhaus, Barracuda, SORBS…).
  • Envíos masivos desde un dominio que llevaba dormido meses.

Puedes comprobar si tu dominio o IP de envío está en alguna de las 10 listas negras más consultadas con nuestro comprobador de listas negras. Si sales listado, hay que actuar rápido: nuestro procedimiento paso a paso está en /emergencia-blacklist.

Warm-up: si tu dominio es nuevo o llevaba tiempo dormido

Un dominio recién comprado tiene reputación cero. Uno que llevaba 6 meses sin enviar, se olvidó de la reputación que tenía. Si ese es tu caso y mañana piensas mandar tu primera campaña a 20.000 contactos, prepárate para verla ir entera a spam.

El calendario que funciona (aproximado):

  • Semana 1: 100-200 emails/día a tu segmento más engaged (clientes recientes que abren todo).
  • Semana 2: 500 emails/día, extiendes al segundo segmento (clientes de los últimos 6 meses).
  • Semana 3: 1.500-2.000/día, entra el tercer segmento.
  • Semana 4-6: duplicas cada 2-3 días si las métricas se mantienen (apertura >20%, rebote <2%, queja <0,1%).
  • A partir de mes 2: volumen normal.

Es lento y aburrido, pero es la única forma. Los servicios que prometen "calentar tu dominio en 3 días" son humo.

Los proveedores más comunes en España: buenas prácticas

Shopify + Klaviyo / Mailchimp / Omnisend

Autentica tu dominio en el proveedor (te da los DKIM), configura SPF que lo incluya, y activa DMARC. Cuidado con enviar desde noreply@tudominio.com — muchos proveedores lo desaconsejan porque impide replies genuinos (señal negativa para los ISPs).

WooCommerce

Por defecto, WooCommerce usa wp_mail() y sale por el servidor de tu hosting — que suele tener reputación baja. Para envíos serios, configura un SMTP saliente (Brevo, SendGrid, Amazon SES) y autentica su dominio. Nunca envíes desde wordpress@tudominio.com sin autenticar.

PrestaShop / Magento

Similar patrón: SMTP saliente autenticado, DKIM del proveedor, DMARC en el dominio. Cuidado con las plantillas por defecto — muchas incluyen imágenes de dominios externos que bajan la puntuación de spam.

Cómo saber si estás llegando al inbox

Tres capas de medición, de más a menos precisa:

  1. Postmaster Tools (gratis, oficial de Google): solo funciona si tienes cierto volumen a usuarios de Gmail. Da información de reputación de dominio, IP, spam rate y autenticación.
  2. Tests de bandeja (paid): servicios como GlockApps o mail-tester te dan el resultado en decenas de proveedores. Útiles antes de un envío grande.
  3. Los KPIs de tu ESP: tasa de apertura, tasa de rebote, tasa de queja. Si tu apertura cae por debajo del 15% de forma sostenida, algo está pasando.

El diagnóstico técnico de tu dominio (SPF/DKIM/DMARC/blacklists + 30 chequeos más) es gratis y en 30 segundos en /salud — no necesitas registro ni tarjeta. Es exactamente lo que nosotros miramos antes de empezar a trabajar con una tienda.

Marco legal en España: RGPD y LSSI (una nota rápida)

  • RGPD: todo suscriptor tiene que haber dado consentimiento activo (checkbox no marcado por defecto) para recibir marketing, y tiene que poder darse de baja fácilmente. Las cookies analíticas requieren consentimiento previo.
  • LSSI (art. 21): en España, no puedes enviar comunicaciones comerciales por email a alguien que no ha aceptado previamente, salvo que sea cliente y le mandes ofertas de productos similares — y aun así, con derecho de oposición.

En la práctica, para un ecommerce: doble opt-in siempre (te cubre RGPD y LSSI de un plumazo), lista de suscriptores separada de la de clientes, y baja fácil en cada email. Las multas por incumplimiento van desde los 6.000€ hasta cifras que hacen daño.

Checklist mensual de entregabilidad

Cinco minutos, primer lunes de mes:

  • [ ] Comprobar SPF, DKIM y DMARC del dominio → herramientas
  • [ ] Comprobar listas negras del dominio y de la IP de envío → comprobador de listas negras
  • [ ] Mirar en tu ESP: tasa de apertura media, rebote y queja de los últimos 30 días
  • [ ] Sacar del envío a inactivos de 6+ meses
  • [ ] Revisar informes DMARC (rua) — si ves envíos que no reconoces, investigar

Y una vez al trimestre:

  • [ ] Limpieza técnica de la lista (sintaxis, MX, disposable)
  • [ ] Auditar formularios: ¿hay doble opt-in? ¿el aviso legal es visible?

Siguientes pasos

Si has llegado hasta aquí y quieres pasar de teoría a diagnóstico:

  1. Análisis gratis de tu dominio en 30 segundos — /salud. SPF, DKIM, DMARC, blacklists y 31 comprobaciones más, con explicación en cristiano de qué falla y cómo se arregla.
  2. Auditoría profesional — /auditoria. Si prefieres un informe firmado con plan de acción priorizado, para presentar a jefe o cliente.
  3. Si estás en llamas (dominio en Spamhaus, campaña masiva rechazada, cuenta suspendida) → /emergencia-blacklist.

Y para profundizar en piezas concretas, cada tema tiene su artículo dedicado en el blog.

Última actualización: julio 2026. Esta guía se refresca cada seis meses para incorporar cambios de Gmail/Yahoo/Outlook y ajustes normativos en España y la UE.