Respuesta corta: no, Google solo obliga a tener DMARC a quien envía más de 5.000 mensajes diarios a Gmail. El resto sí va con todos: tasa de spam por debajo del 0,30% en Postmaster Tools, conexión TLS y registro PTR válido, y sin DMARC alineado cumplir ese umbral cuesta bastante más. Desde mayo de 2025, además, Outlook exige lo mismo y rechaza directamente el correo que no lo cumple. Y si quieres que tu logo aparezca junto al remitente (BIMI), necesitas DMARC en modo quarantine o reject sí o sí; hay una vía más barata que la marca registrada para conseguirlo. Vamos por partes.
Qué está pasando realmente en 2026
En octubre de 2023, Google y Yahoo anunciaron de forma conjunta nuevas reglas para remitentes, con entrada en vigor en febrero de 2024: autenticación fuerte (SPF, DKIM y DMARC), un umbral claro de tasa de spam y la obligación de ofrecer baja de un clic para el correo comercial, según explicó el propio blog oficial de Gmail. En 2026 las reglas siguen siendo las mismas; lo que ha subido es la severidad al aplicarlas: menos tolerancia con configuraciones a medias, registros DNS mal copiados o dominios que "tienen SPF" pero fallan en la alineación real con DMARC. Y la medida funcionó: un año después, Neil Kumaran, responsable de producto de seguridad de Gmail, cifraba el efecto en un 65% menos de mensajes sin autenticar llegando a los usuarios (265.000 millones menos en 2024 que en 2023), según recogió Forbes en octubre de 2024. La lectura práctica para ti: el correo autenticado ya es la norma estadística, así que el que no lo está destaca cada vez más como sospechoso ante los filtros.
El matiz importante que muchas pymes pasan por alto: la obligación estricta de tener DMARC configurado solo aplica a remitentes masivos, definidos por Google como quien envía más de 5.000 mensajes diarios a direcciones Gmail, según las directrices vigentes de Google Workspace para remitentes. Si tu empresa manda una newsletter mensual a 800 contactos, técnicamente no estás obligado. Pero el umbral del 0,30% de tasa de spam sí aplica a todo el mundo, envíes lo que envíes, y sin DMARC es mucho más difícil demostrarle a Gmail que ese correo es legítimamente tuyo.
Esto, además, ya no es una particularidad de Gmail y Yahoo. Desde el 5 de mayo de 2025, Microsoft aplica requisitos equivalentes en Outlook, Hotmail y Live: quien supera los 5.000 mensajes diarios a esas direcciones necesita SPF, DKIM y DMARC (como mínimo en p=none), y Microsoft decidió que el correo incumplidor no va a la carpeta de spam sino que se rechaza directamente con el error 550 5.7.15 Access denied, según su anuncio oficial en Microsoft Tech Community. Los tres grandes buzones piden hoy lo mismo, así que configurarlo una vez te cubre en todos.
SPF, DKIM y DMARC, sin jerga
Los tres protocolos resuelven el mismo problema desde ángulos distintos: demostrar que un email que dice venir de tudominio.es realmente sale de tudominio.es y no de alguien suplantándote.
- SPF (Sender Policy Framework): una lista en el DNS de tu dominio que dice "estos servidores tienen permiso para enviar correo en mi nombre". Si tu newsletter sale desde un servidor que no está en esa lista, el email falla la comprobación.
- DKIM (DomainKeys Identified Mail): una firma digital que se añade a cada correo y que el servidor de destino puede verificar contra una clave pública publicada en tu DNS. Confirma que el contenido no se ha manipulado por el camino.
- DMARC (Domain-based Message Authentication): la capa que ata SPF y DKIM entre sí y con el dominio que ve el usuario en el "De:". Además, le dice a Gmail y Yahoo qué hacer si un correo falla la comprobación (nada, cuarentena o rechazo) y te manda informes de quién está enviando en tu nombre, incluidos posibles suplantadores.
La razón por la que "tener SPF" ya no basta es que SPF y DKIM por separado no obligan a que el dominio visible para el usuario coincida con el que realmente autentica el correo. Ese hueco lo cierra DMARC; y BIMI, que veremos más abajo, exige DMARC como condición para mostrar tu logo.
El 0,30% de Postmaster Tools: qué es y cómo comprobarlo
Google Postmaster Tools es una herramienta gratuita que muestra, entre otras cosas, qué porcentaje de tus envíos a Gmail los usuarios marcan como spam. Las respuestas oficiales de Google a las directrices para remitentes son más exigentes de lo que suele repetirse: piden mantener la tasa por debajo del 0,10% y que "en ningún caso" alcance el 0,30%. Cruzar ese techo tiene además un coste oculto: mientras estés en él o por encima, Google no acepta solicitudes de mitigación para tu dominio, y para poder pedirla de nuevo tienes que mantenerte por debajo del 0,30% durante 7 días seguidos. Es decir, salir del agujero cuesta más que no caer en él.
Para comprobarlo en unos minutos:
- Entra en postmaster.google.com con la cuenta de Google asociada al dominio (o pide a quien gestiona tu DNS que verifique la propiedad con un registro TXT).
- Revisa el panel "Tasa de spam del dominio" de los últimos 30 días: si aparece en gris ("datos insuficientes"), Gmail aún no tiene volumen para reportar. Cuidado con leerlo como un aprobado.
- Si ves picos por encima del 0,30%, cruza esa fecha con tu calendario de envíos: casi siempre coincide con una lista comprada, una segmentación mal hecha o un asunto demasiado agresivo.
El cálculo que casi nadie hace. El umbral parece un problema de remitentes masivos, pero la aritmética castiga antes al pequeño. Supón una newsletter a 800 contactos de los que 400 son cuentas de Gmail. Si en un envío 2 personas pulsan "marcar como spam", tu tasa de ese día es 2 ÷ 400 = 0,50%: por encima del techo del 0,30% y cinco veces el 0,10% que Google recomienda. Para quedarte bajo el 0,10% con esa lista, tu margen es exactamente cero quejas (una sola ya te pone en 0,25%). Un remitente de 100.000 correos diarios puede absorber 90 quejas sin despeinarse; tú no puedes absorber ni dos. Por eso la higiene de lista (bajas fáciles, no reactivar contactos fríos de golpe) importa más cuanto menos envías, aunque con ese volumen Postmaster suela mostrar "datos insuficientes": el filtro de Gmail sí hace la cuenta aunque no te la enseñe.
BIMI en 2026: el logo junto al remitente, sin marca registrada
BIMI (Brand Indicators for Message Identification) es el estándar que permite que tu logo aparezca junto al remitente en la bandeja de entrada de Gmail, Yahoo o Apple Mail. Para activarlo hace falta, como mínimo, DMARC configurado con política de quarantine o reject al 100% (pct=100), y después certificar el logo con uno de estos dos caminos:
- VMC (Verified Mark Certificate): exige que el logo esté registrado como marca ante una oficina de propiedad intelectual reconocida (OEPM, EUIPO, USPTO...). Es la vía "oficial" y la única que hoy activa el check azul de verificación en Gmail.
- CMC (Common Mark Certificate): no exige marca registrada. Gmail lo admite oficialmente desde septiembre de 2024, cuando Google anunció el soporte de CMC en Workspace precisando que el logo se muestra pero sin el check de verificación reservado al VMC. Basta con demostrar que el logo lleva en uso público al menos 12 meses en tu web (capturas fechadas, Wayback Machine), según detalla la guía práctica de CaptainDNS sobre BIMI para pymes.
Para decidir sin marearte, el resumen cabe en una tabla:
| VMC | CMC | Sin BIMI (aún) | |
|---|---|---|---|
| Marca registrada | Obligatoria (OEPM, EUIPO...) | No; logo en uso público ≥ 12 meses | — |
| Logo en la bandeja | Sí | Sí | No (avatar genérico) |
| Check azul en Gmail | Sí | No | No |
| DMARC exigido | quarantine/reject al 100% | quarantine/reject al 100% | Recomendado igualmente |
| Tiene sentido si... | ya tienes la marca registrada y envías volumen alto | envías newsletters o transaccional con regularidad | envías poco correo: prioriza DMARC y revisa en 6-12 meses |
¿Compensa a una pyme? Depende del volumen de correo transaccional y comercial que mande desde su dominio. Si envías facturas, confirmaciones de cita o newsletters con regularidad y tu marca ya tiene un logo reconocible, el CMC es una forma barata de ganar confianza visual sin pasar por el registro de marca. Si apenas envías correo masivo, el esfuerzo (y el coste anual del certificado) probablemente no se justifica todavía: primero DMARC bien configurado, BIMI puede esperar.
Señales de que ya te está penalizando Gmail
- La tasa de apertura de tu newsletter cae de golpe sin que hayas cambiado el contenido ni la frecuencia.
- Cada vez más suscriptores te dicen que te encuentran en la pestaña "Promociones" cuando antes llegabas a "Principal", o directamente en spam.
- Postmaster Tools muestra "reputación del dominio: mala" o "baja" en vez de "alta".
- Recibes rebotes con códigos de error temporales (4xx) en un porcentaje de tus envíos que antes no existía: es la forma que tiene Gmail de avisarte antes de bloquear directamente.
Checklist de 5 pasos para tu proveedor de hosting o CRM
No hace falta que lo configures tú mismo si no eres la persona técnica de la empresa, pero sí que sepas pedirlo con precisión:
- Pide que se publiquen los registros SPF y DKIM del dominio para cada plataforma desde la que envías (tu propio servidor de correo, el CRM, la herramienta de email marketing): cada una necesita su propia autorización.
- Pide un registro DMARC en modo
p=nonepara empezar: no bloquea nada, solo te manda informes de quién envía en tu nombre. Es el paso de "mirar antes de actuar". - Revisa esos informes DMARC durante 2-4 semanas antes de subir la política a
quarantineoreject: si tienes proveedores legítimos que aún no están alineados (facturación, CRM, marketing), lo verás ahí antes de bloquearlos por error. - Confirma que la conexión usa TLS y que el PTR (DNS inverso) de la IP de envío resuelve correctamente al hostname que se anuncia; es un requisito técnico que suele configurar el proveedor de hosting o el propio ESP (Email Service Provider).
- Da de alta el dominio en Google Postmaster Tools y revisa el panel cada mes, no solo cuando algo ya ha fallado.
Nuestra opinión
El fallo que más vemos en pymes que envían su propia newsletter o sus propios avisos transaccionales es la falta de seguimiento: alguien configuró SPF hace tres años, nadie ha vuelto a mirarlo, y mientras tanto la empresa ha cambiado de CRM o ha delegado el envío de comunicados en otra herramienta que nunca quedó autorizada en el DNS. DMARC en modo p=none es la forma más barata de averiguar, en semanas, si ese es tu caso, antes de que la tasa de spam se dispare y sea Gmail quien te lo diga por las malas.
Si gestionas tu email marketing con Summum o estás valorando externalizarlo, esto forma parte de lo que revisamos de entrada: no tiene sentido invertir en diseño y copy de una newsletter si la mitad no llega a la bandeja de entrada principal. Y si tu web y tu correo corporativo aún dependen de un hosting que nadie ha revisado desde la migración, es un buen momento para pedir ese chequeo, esté o no financiado por el Kit Digital.
Si quieres que revisemos la configuración de tu dominio y te digamos, en claro, si estás en zona de riesgo, cuéntanos tu caso. Sin presión comercial: a veces el diagnóstico es "está todo bien, no toques nada".
Fuentes y referencias
- Gmail — anuncio oficial de los nuevos requisitos para remitentes (Google, octubre 2023)
- Google Workspace — directrices vigentes para remitentes a Gmail
- Google — preguntas frecuentes sobre las directrices para remitentes (tasa de spam y mitigaciones)
- Google Workspace Updates — soporte de Common Mark Certificates en Gmail (septiembre 2024)
- Forbes — declaraciones de Neil Kumaran (Gmail) sobre el impacto de los requisitos: 65% menos de correo sin autenticar (octubre 2024)
- Microsoft Tech Community — requisitos de Outlook para remitentes de alto volumen (mayo 2025)
- CaptainDNS — guía de BIMI sin VMC para pymes (marzo 2026)