De un día para otro tus correos empiezan a rebotar, o van directos a la carpeta de spam de tus clientes, o tu proveedor te avisa de que tu dominio está en una lista negra (blacklist). La causa más común no es que te hayan robado la contraseña del correo: es que algo dentro de tu propia web está enviando spam en tu nombre. Aquí ves cómo confirmarlo, cortarlo y pedir la baja para que tus correos vuelvan a llegar.
El orden importa. Si pides salir de la lista antes de cortar el envío, te vuelven a incluir en cuestión de horas y encima ya como reincidente. Primero se tapa el agujero; después se pide la baja.
Comprobar en qué listas estás y desde cuándo
Lo primero es saber dónde estás señalado. Hay servicios gratuitos que consultan tu dominio y tu IP contra decenas de listas a la vez (busca «blacklist check» o «comprobar lista negra»). Introduce dos cosas: tu dominio y la dirección IP del servidor de correo desde el que envías. Si usas el correo de tu hosting, es la IP de tu hosting; si usas Google Workspace o Microsoft 365, seguramente el problema es otro, y lo vemos más abajo.
Apunta en qué listas apareces. No todas pesan igual: algunas, como Spamhaus, las usa medio mundo, así que estar ahí explica que tus correos no lleguen a casi nadie. Otras son marginales y apenas afectan. Mira también, si el listado lo dice, desde cuándo estás: te da una pista de cuándo empezó el problema.
El origen habitual: un formulario o un script de tu propia web
La vía de entrada más frecuente es un formulario de contacto sin protección que un robot usa para enviar miles de correos, o un script malicioso que el atacante ha subido y que usa tu servidor como máquina de envío. En ambos casos, para el mundo exterior el spam sale de tu dominio, y por eso te penalizan a ti.
Señales de que el origen es la web y no una cuenta concreta:
- Tú no has enviado ningún envío masivo y aun así apareces en listas.
- El hosting te avisa de un consumo de correo anómalo, o directamente te suspende la cuenta. Si has llegado hasta aquí porque te han cortado el servicio, mira también qué hacer cuando el hosting suspende tu web por malware.
- La web va más lenta de lo normal porque el servidor está ocupado enviando. Un envío masivo en segundo plano es una de las cosas que hacen que una web se comporte de forma rara sin explicación aparente.
Encontrar el envío masivo en la cola de correo del servidor
Si tienes acceso al panel del hosting, la cola de correo (mail queue) es la prueba más directa. En cPanel la tienes en Email → Track Delivery o en el gestor de la cola de correo; en Plesk, en las herramientas de correo del servidor. Busca:
- Cientos o miles de mensajes en cola en poco tiempo.
- Remitentes que no existen en tu empresa, del tipo
xk29@tudominio.com. - Mensajes cuyo origen es un script PHP dentro de una carpeta de tu web, no una cuenta de correo real. En las cabeceras del mensaje verás la ruta del fichero que lo envió: eso te señala directamente al culpable.
Esa ruta es oro. Si ves algo como /wp-content/uploads/2024/07/algo.php disparando correos, tienes localizado el script. Un fichero PHP dentro de uploads casi nunca es legítimo: esa carpeta es para imágenes y documentos, no para código.
Cuenta de correo robada frente a web infectada: cómo distinguirlo
No siempre es la web. A veces es una cuenta de correo cuya contraseña ha caído, por un correo de phishing o porque estaba repetida en otro sitio que sufrió una filtración. Cómo distinguir un caso del otro:
- Es la web si el envío sale de scripts PHP, si los remitentes son cuentas inventadas y si usas WordPress, PrestaShop u otro gestor con plugins.
- Es una cuenta robada si todo el spam sale de una única dirección real (por ejemplo
info@tudominio.com), si esa cuenta tiene mensajes en su carpeta de «Enviados» que nadie de tu equipo hizo, y si usas correo alojado tipo Google Workspace o Microsoft 365, donde no hay scripts PHP que valgan.
Si es una cuenta robada, la solución es cambiar la contraseña de esa cuenta, activar la verificación en dos pasos y revisar reglas de reenvío que el atacante haya podido dejar. Si además te preocupa que estén suplantando tu marca hacia fuera, mira cómo protegerte de la suplantación de correo de tu empresa.
Cortar el envío antes de pedir la retirada de la lista
Con el origen localizado, córtalo. Según el caso:
- Script malicioso: borra el fichero que dispara los correos y busca sus compañeros. Un script de envío rara vez está solo; suele venir con una puerta trasera que lo reinstala si solo borras la parte visible.
- Formulario abierto: protege el formulario con un captcha, limita los envíos por minuto y desactiva funciones de reenvío que no necesites.
- Cuenta robada: cambia la contraseña, cierra todas las sesiones y revisa reglas de reenvío y filtros.
Hasta que la cola de correo deje de llenarse sola, no des el paso siguiente. Comprobarlo es fácil: vacía la cola, espera un rato y mira si vuelve a crecer. Si sigue creciendo, todavía queda algo activo.
SPF, DKIM y DMARC: lo mínimo para que no se repita
Estos tres registros de tu dominio son los que le dicen al resto del mundo quién puede enviar correo en tu nombre. Bien configurados, dificultan que alguien suplante tu dominio y ayudan a que tus correos legítimos lleguen:
- SPF es la lista de servidores autorizados a enviar por ti.
- DKIM es una firma que demuestra que el mensaje no se ha manipulado por el camino.
- DMARC le dice al servidor de destino qué hacer con un correo que dice ser tuyo pero no pasa las comprobaciones anteriores.
No arreglan una web infectada (para eso hay que quitar el script), pero son la red que evita que la suplantación futura te vuelva a mandar a las listas negras. Si no sabes por dónde empezar, tienes una explicación sin tecnicismos de qué son SPF y DKIM y una guía de cómo empezar con DMARC.
Solicitar la baja en cada lista y plazos reales
Ahora sí. Con el envío cortado, entra en la web de cada lista donde aparecías y pide la retirada (delisting). Casi todas tienen un formulario de baja. Ten en cuenta:
- Algunas listas te quitan solas a los pocos días si dejas de enviar spam. Otras exigen que lo solicites tú.
- Los plazos van de unas horas a varios días. No lo pidas dos veces seguidas; eso a veces reinicia el contador.
- Si te vuelven a incluir al día siguiente, es que no cortaste bien el origen. Vuelve a la cola de correo.
Recuperar la reputación de un dominio lleva su tiempo aunque salgas de las listas: los servidores de correo tienen memoria. Envía con normalidad, sin campañas masivas los primeros días, y la entregabilidad se va recomponiendo. Si el correo tarda en normalizarse pese a estar todo bien puesto, revisa por qué tus correos siguen yendo a spam.
Antes de dar la guerra por ganada, comprueba gratis cómo está configurado el correo de tu dominio: en un vistazo verás si SPF, DKIM y DMARC están bien puestos y si te dejan expuesto a que vuelvan a enviar spam en tu nombre.