Qué han cambiado Gmail, Yahoo y Outlook para quien envía correo
Durante mucho tiempo, los grandes proveedores de correo fueron tolerantes con el correo mal identificado: lo filtraban, pero lo dejaban pasar. En los últimos años eso ha cambiado, en dos frentes a la vez. Por un lado exigen que quien envía demuestre quién es. Por otro, han cerrado la forma más sencilla que tenían las aplicaciones de enviar correo a través de una cuenta.
Gmail y Yahoo ponen condiciones
En febrero de 2024, Gmail y Yahoo empezaron a aplicar nuevas exigencias a quienes les envían correo. A todos los remitentes les piden autenticarse con SPF o DKIM. A quienes superan los 5.000 mensajes diarios a sus usuarios les exigen además SPF, DKIM y DMARC, un enlace para darse de baja con un solo clic y una tasa de quejas por spam por debajo del 0,3 %.
El umbral de los envíos masivos no afecta a los formularios de una web, que envían unos pocos mensajes al día. Pero el mensaje de fondo sí: el correo que no se identifica tiene cada vez menos sitio.
Outlook se suma y empieza a rechazar
Microsoft siguió el mismo camino. Desde el 5 de mayo de 2025, Outlook.com exige a quienes envían más de 5.000 mensajes diarios que superen SPF, DKIM y DMARC, y rechaza directamente el correo que falla, aunque el propio dominio haya publicado una política permisiva.
Entre los tres, Gmail, Yahoo y Outlook concentran buena parte de las bandejas de entrada de particulares y empresas. Lo que ellos exigen se convierte, en la práctica, en la norma para todos.
Adiós al usuario y la contraseña
El segundo frente es menos conocido y, para las webs, más directo. Durante años, cualquier aplicación podía enviar correo a través de una cuenta de Gmail o de Outlook con solo conocer el usuario y la contraseña. Es lo que hacían muchos formularios web, y también muchas impresoras, escáneres y programas de gestión.
Microsoft dejó de permitirlo en las cuentas personales de Outlook.com, Hotmail y Live el 16 de septiembre de 2024. Google hizo lo mismo en todas sus cuentas el 14 de marzo de 2025: desde ese día, el envío por SMTP con la contraseña de siempre dejó de funcionar, y las aplicaciones tienen que usar un sistema de autorización más moderno.
En las cuentas de empresa de Microsoft 365, la retirada se ha aplazado varias veces. El calendario vigente prevé desactivarla por defecto a finales de 2026, con la posibilidad de que un administrador la reactive temporalmente, y una fecha definitiva que Microsoft anunciará más adelante. La dirección, en todo caso, está clara.
Qué significa para los formularios de una web
Para una web, estos cambios se traducen en tres consecuencias muy concretas. Un formulario que envía el aviso haciéndose pasar por el visitante tiene cada vez más papeletas para acabar en spam o rechazado. Un dominio sin SPF, DKIM y DMARC bien configurados empieza en desventaja. Y un formulario que enviaba a través de una cuenta personal con su contraseña probablemente dejó de funcionar en alguna de esas fechas, quizá sin que nadie se diera cuenta.
Lo que ha llegado para quedarse
Ninguno de estos cambios es caprichoso. Responden a una avalancha de suplantaciones y de cuentas robadas, y el resultado es un correo más seguro para todos. Pero exigen hacer las cosas bien, y un formulario web ya no puede enviar correo de cualquier manera.
La solución no es pelearse con cada proveedor, sino enviar desde un canal preparado para cumplir con todos. Es lo que hacemos con ideforms.