Cómo detener el spam: qué funciona y qué lo empeora

De dónde viene en realidad el spam

Hay cuatro maneras de que una dirección acabe en una lista, y cada una deja una huella distinta. Saber cuál de ellas fue importa más de lo que parece, porque el remedio es distinto en cada caso — y tres de las cuatro no se pueden deshacer después de ocurridas, que es todo el argumento de la segunda mitad de esta guía.

Cómo se filtró	Qué aspecto tiene en la bandeja de entrada	Cómo confirmarlo	Qué lo detiene de verdad
Un servicio al que te registraste sufrió una brecha	Una oleada de spam sin relación aparente que empieza a las pocas semanas de la noticia, dirigida exactamente a la forma en que escribiste tu dirección en ese servicio	Busca la dirección en un índice de brechas como Have I Been Pwned, que cataloga los volcados públicos	Nada, después del hecho. Un volcado se copia el mismo día que aparece. Solo una dirección distinta por servicio limita hasta dónde llega el siguiente
El servicio la vendió, o «la compartió con socios»	Ofertas de un sector cercano a aquel en el que te registraste, que llegan a una de tus direcciones y a ninguna de las demás	Solo si ese servicio recibió una dirección que nadie más tiene — una etiqueta con signo más si sobrevivió, una dirección aparte si no	Cortar esa única dirección. Cualquier otra cosa es una queja de la que no tienes pruebas
Se publicó en algún sitio público	Correo a una dirección con la que nunca te suscribiste: la de tu propio sitio web, la del registro de tu dominio, o la de un commit que subiste	Busca la propia dirección. Si un navegador puede encontrarla, también puede un rastreador que no hace otra cosa en todo el día	Retirarla ayuda, pero despacio; las copias que ya se hicieron no caducan nunca. Sustitúyela por una dirección que estés dispuesto a jubilar
Nadie la filtró — la adivinaron	Correo a nombres que nunca has usado en un dominio propio: `info@`, `sales@`, `john@`	Lee la parte anterior a la `@`. Un ataque de directorio prueba un diccionario de nombres comunes contra un dominio y se queda con lo que no rebota	No usar como dirección pública una que se pueda adivinar, y no tratar nunca un buzón catch-all como si fuera privado

Tres de esas cuatro filas terminan en la misma admisión: una vez que una dirección está en una lista, está en la lista. No hay ninguna autoridad a la que apelar, ningún opt-out central que un spammer respete, y ningún botón en ningún sitio que la recupere. Lo único que todavía puedes cambiar es lo que entregues a partir de ahora — por eso esta guía termina donde termina, en lugar de con una lista más larga de filtros.

El enlace para darse de baja: cuándo funciona y cuándo confirma que existes

Darte de baja de una empresa a la que de verdad te suscribiste funciona, y funciona rápido — porque desde 2024 los grandes proveedores de correo lo han convertido en una condición para la entrega, no en una cortesía. Un remitente que envía correo masivo a Gmail, Yahoo Mail o Outlook.com tiene que ofrecer una baja de un solo clic, aplicarla en un plazo de dos días, autenticar su correo y mantener las quejas por debajo de aproximadamente un tercio del uno por ciento. Un remitente que ignora eso deja de llegar por completo. Desde tu lado del cable, el cumplimiento tiene este aspecto:

la cabecera de un mensaje del que puedes darte de baja con seguridad

From: "Example Shop" <news@example.com>
List-Unsubscribe: <https://example.com/u/8f21c4>,
        <mailto:unsubscribe@example.com?subject=unsub-8f21c4>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mail.example.com;
        dkim=pass header.d=example.com;
        dmarc=pass header.from=example.com

Dos de esas líneas son el mecanismo. List-Unsubscribe declara dónde darse de baja, en una cabecera y no en el texto; List-Unsubscribe-Post dice que el remitente aceptará un único POST como toda la conversación, sin ninguna página que cargar ni ningún formulario que rellenar. Ese par es lo que lee tu aplicación de correo para dibujar un enlace Darse de baja junto al nombre del remitente — y es una solicitud distinta de la que hay en el cuerpo del mensaje.

La misma intención, enviada por dos personas distintas. El enlace impreso en el mensaje lo solicitas tú, desde una URL que lleva el identificador del mensaje — así que la propia solicitud informa de que esta dirección la lee una persona. El botón junto al nombre del remitente lo solicita tu proveedor, y no revela nada salvo que una dirección se dio de baja.

Lo que convierte una decisión que parece arriesgada en una con tres resultados posibles:

Hay un botón para darse de baja junto al nombre del remitente: Úsalo. Tu proveedor hace la solicitud, el remitente solo se entera de que una dirección se dio de baja, y tanto Gmail como Outlook.com registran el clic como una señal sobre ese remitente.
No hay ningún botón, pero tienes la certeza de que tienes una cuenta allí: Abre el mensaje con las imágenes remotas desactivadas, comprueba en la cabecera que dmarc=pass nombra el propio dominio de la marca, y entonces usa el enlace. Aquí el trabajo lo hace la certeza, no el enlace.
Nunca te registraste, o la cabecera no cuadra: No hagas clic en nada de él. Denúncialo como spam y ciérralo. El enlace es una URL de seguimiento, es única para ti, y seguirlo es exactamente cómo una lista que adivinó tu dirección confirma que acertó.

La forma mailto: de esa misma cabecera existe con el mismo propósito y es segura en los mismos casos — envía un mensaje desnudo y no involucra a ningún navegador. También es la forma que nada ha implementado bien en veinte años, así que trátala como un recurso de reserva y no como un plan.

Marcar como spam, bloquear o eliminar: qué aprende tu proveedor de cada uno

Cuatro controles conviven a un centímetro de distancia en cualquier aplicación de correo, y hacen cuatro cosas que no tienen nada que ver entre sí. Solo uno de ellos hace que el mes que viene sea más tranquilo.

Marcar como spam / Denunciar como spam: El único que entrena algo. Tu propio filtro aprende de él al instante, y el informe se agrupa con los de todos los demás: un remitente cuya tasa de quejas supera aproximadamente un tercio del uno por ciento empieza a caer en la carpeta de spam de personas que nunca se quejaron de nada. Es el botón más eficaz de esta página.
Bloquear remitente: Una regla que existe solo dentro de tu cuenta, y que se compara con una dirección o un dominio que eligió el remitente y que puede cambiar en un segundo. Útil contra una persona insistente, inútil contra una campaña — por eso la misma oferta vuelve desde news-2@ la semana siguiente.
Eliminar: No enseña absolutamente nada. El mensaje desaparece y el filtro sigue tan equivocado como hace un momento, así que el siguiente también caerá en la bandeja de entrada. Es el error más común de este artículo.
Moverlo a una carpeta, o filtrarlo: Oculta el problema a ti y al filtro de un solo movimiento. Merece la pena hacerlo con correo que pediste y no quieres ver; resulta activamente contraproducente como forma de tratar el correo que nunca pediste.
Denunciar phishing: Un circuito distinto al del spam, tanto en Google como en Microsoft, con personas y solicitudes de retirada al final del proceso. Úsalo cuando un mensaje suplanta a alguien — un banco, un compañero, una empresa de mensajería — en lugar de limitarse a vender algo.

Hay un quinto control, y cuenta tanto como el primero: sacar un mensaje fuera de la carpeta de spam también es entrenamiento. Un boletín que rescatas le enseña al filtro que ese remitente sí es bienvenido, tanto en tu cuenta como en conjunto. Por eso un filtro que has usado con honestidad durante un año es mejor que uno que nunca has tocado.

Diez segundos en la cabecera, antes de decidir nada

Todo lo anterior gira en torno a una única pregunta — ¿es este remitente quien dice ser? — y la respuesta son tres líneas de texto que cualquier aplicación de correo puede mostrarte. Aquí está la misma tienda de antes, salvo que no lo es:

un mensaje que suplanta al remitente anterior

From: "Example Shop" <news@examp1e-shop.net>
Return-Path: <b7f2@mailer-4471.example.net>
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mailer-4471.example.net;
        dkim=none;
        dmarc=none

Nada de eso es una falsificación en el sentido técnico. spf=pass es perfectamente cierto: el remitente controla de verdad mailer-4471.example.net y de verdad se autorizó a sí mismo a enviar desde ahí. Lo que falta es cualquier afirmación sobre example.com, cuyo nombre aparece en la línea visible y cuya marca lleva puesta el mensaje. Cuatro cosas que mirar, en este orden:

La dirección, no el nombre. Example Shop es texto libre que escribe el remitente. La parte entre corchetes angulares es la afirmación — y aquí dice examp1e-shop.net, con un dígito ocupando el lugar de una letra.
dmarc=, y a qué dominio nombra. dmarc=pass header.from=example.com significa que el propio dominio de la marca respaldó este mensaje. dmarc=none significa que nadie lo hizo. Un pass en un dominio distinto del que aparece en From: solo demuestra que un desconocido es dueño de un dominio.
Return-Path: frente a From:. Los remitentes masivos de verdad enrutan los rebotes a través de su propia infraestructura de envío, así que las dos raramente coinciden con exactitud. Lo que debería coincidir es la organización: mail.example.com bajo example.com es normal, mailer-4471.example.net bajo él no lo es.
Si existe siquiera un List-Unsubscribe. Su ausencia en algo que dice ser un mensaje de marketing ya es la respuesta en sí misma — un remitente masivo de verdad ya no se puede permitir omitirlo.

Qué delata abrirlo, antes de tocar nada

Un mensaje que nunca pediste es una pregunta sobre ti, y responderla no le cuesta nada al remitente y a ti sí. Cuatro cosas se filtran en el momento en que abres uno con las imágenes activadas:

Que la dirección está activa y la lee una persona. El dato más valioso de todos sobre cualquier dirección de una lista, y el que decide si se acaba revendiendo.
Cuándo lo lees, y con qué frecuencia. El píxel se solicita cada vez que se muestra el mensaje, no solo una vez.
Aproximadamente dónde estás, y con qué lo lees. La solicitud lleva una dirección IP y un user agent, como cualquier otra.
Cuál de sus mensajes abriste. La URL es única para cada destinatario, así que la respuesta es por dirección y no en conjunto.

Hoy en día, todos los proveedores importantes hacen de proxy con las imágenes remotas, lo que suaviza la mitad relativa a la ubicación pero no la mitad relativa a la confirmación: la solicitud sigue produciéndose, y sigue diciendo que una dirección abrió el mensaje. Bloquear las imágenes hasta que las pidas es una opción en cualquier aplicación de correo, y el mejor valor predeterminado de esta página. Los píxeles de seguimiento en el correo explica el mecanismo, y qué consigue bloquearlos y qué no. Aquí se bloquean por la política con la que se sirve el mensaje y no editándolo, así que no hay nada que activar.

El único remedio que escala: una dirección distinta por servicio

Todos los controles anteriores son formas de reaccionar a un correo que ya ha llegado a una dirección que el remitente ya tiene. El único enfoque que reduce el volumen en lugar de clasificarlo es hacer que la dirección misma sea prescindible — de modo que una fuga delate qué servicio la filtró y se pueda cortar sin tocar nada más. Hay cuatro maneras de hacerlo, y se diferencian de formas que merece la pena conocer antes de elegir una:

Qué entregas	¿Oculta tu dirección real?	¿Sobrevive a que la revendan?	¿Puedes cortar solo esta?	Qué te cuesta
Una etiqueta con signo más en tu propia dirección	No — tu dirección está dentro, a la vista de todos	No. Borrar todo lo que hay entre el `+` y la `@` es una línea de código, y quien más probablemente la ejecute es quien está vendiendo la lista	Solo mediante un filtro, que de todas formas la entrega	Nada, y unos diez segundos
Un alias de relé que te reenvía el correo	Sí, mientras dure	Sí — el comprador se queda con el alias y no contigo	Sí, y al instante	Una suscripción, y un tercero en el camino de tu correo
Una dirección en un dominio propio	Sí, y a ojos de un formulario de registro no parece desechable	Sí	Sí, una dirección cada vez	Un dominio, un registro MX, y el DNS que evita que la suplanten
Una dirección desechable que nunca vuelves a leer	Sí, por completo	Sí — no hay nada detrás que vender	Se corta sola: el correo se elimina pasados 5 días	No podrás recuperar la cuenta después, y algunos formularios rechazan el dominio

No hay que elegir entre ellas de una vez para siempre; la elección se hace en cada registro, y la pregunta que la resuelve es la de burner, alias o correo temporal: ¿te importaría perder esta cuenta? Para una tienda en la que vas a comprar una sola vez, una dirección desechable es a la vez la respuesta correcta y la más barata. Para tu banco es una catástrofe. Para los doscientos registros que quedan en medio, una dirección en un dominio propio es la que sigue funcionando.

Una etiqueta con signo más está en esta lista porque es a lo primero que recurre la gente, no porque le corresponda el primer puesto. Organiza el correo de maravilla y no oculta absolutamente nada.

La dirección que ya está por ahí fuera

Una dirección que está en las listas lo está para siempre, y empezar de cero con una nueva vale menos de lo que parece: una dirección nueva acaba en las mismas listas en más o menos el mismo tiempo, a menos que también cambie lo que entregas a partir de ahora. Así que el movimiento útil no es un comienzo nuevo, sino un triaje, en este orden:

Deja de empeorarlo. No la publiques en texto plano en una página, no la uses como contacto público de un dominio, y dale al próximo formulario otra cosa.
Traslada lo que no puedes permitirte perder. La banca, la administración, el registrador de tu dominio y, sobre todo, la dirección de recuperación de tus otras cuentas. Es una lista corta, y es todo el motivo para hacer cualquiera de estas cosas.
Cambia primero la dirección de recuperación, y después la de inicio de sesión. En ese orden, siempre. Hacerlo al revés es cómo la gente acaba fuera de la cuenta que intentaba proteger.
Deja el resto tal como está. Doscientas cuentas de tiendas no necesitan migrar a ningún sitio. Deja que se queden con la dirección antigua, y deja que esa dirección antigua sea la que hojeas por encima, no la que usas de verdad.
Después, deja que trabaje el filtro. Denuncia en lugar de eliminar, rescata lo que haya caído por error, y dale un mes. Un filtro que has entrenado con honestidad supera a cualquier regla que puedas escribir a mano.

La gracia de un triaje es que se acaba. No existe una versión de esto en la que la dirección antigua vuelva a estar limpia; existe una versión en la que deja de importar, y lleva una tarde.

La versión corta

Prefiere el botón Darse de baja que tu aplicación de correo coloca junto al nombre del remitente, antes que el enlace de dentro del mensaje.
Date de baja solo de remitentes que puedas demostrar: dmarc=pass en el dominio que aparece en From:.
No hagas clic en nada de un mensaje al que nunca te suscribiste. El enlace es la medición.
Denuncia como spam en lugar de eliminar. Eliminar no le enseña nada a tu filtro.
Rescata también el correo filtrado por error — eso también es entrenamiento, en la dirección contraria.
Desactiva las imágenes remotas por defecto, en todas las aplicaciones de correo que uses.
Dale al próximo registro una dirección que exista solo para él: una etiqueta si es lo único que tienes, una dirección en tu propio dominio si puedes, o una desechable si no quieres volver a saber de ellos nunca más.

Las seis primeras hacen que este mes esté más tranquilo. La séptima es la única que hace que el año que viene lo esté.

Preguntas

¿Darse de baja del spam lo empeora?

De un spam de verdad, sí: el enlace te identifica, y una dirección que se da de baja es una dirección confirmada como activa. De una empresa a la que de verdad te suscribiste, no — los grandes proveedores ahora exigen una baja de un solo clic aplicada en dos días, y un remitente que lo ignora deja de entregarse. Toda la habilidad consiste en distinguir a los dos, algo que dmarc=pass en el propio dominio de la marca resuelve en unos diez segundos.

¿Es mejor marcar como spam o bloquear al remitente?

Marcar como spam, casi siempre. Bloquear escribe una regla en tu cuenta contra una dirección que el remitente cambia gratis; denunciar entrena un filtro que compartes con millones de personas y empuja la tasa de quejas de ese remitente hacia el umbral a partir del cual su correo deja de llegarle a cualquiera. Bloquear es para una persona insistente, no para una campaña.

¿Cómo consiguieron mi dirección de correo si nunca se la di a nadie?

Normalmente la adivinaron, en vez de filtrarla. Un ataque de directorio envía correo a un diccionario de nombres comunes en un dominio y se queda con lo que no rebota, que es por qué info@ y john@ reciben correo al que nadie se suscribió jamás. Las otras dos vías son la lista de contactos vulnerada de otra persona, y un dominio que acepta cualquier nombre, incluidos los que tú nunca emitiste.

¿Eliminar el spam entrena mi filtro de spam?

No. Eliminar quita el mensaje y no le enseña nada al filtro, por lo que el siguiente también caerá en la bandeja de entrada. Denunciarlo es lo que lo entrena — y sacar de la carpeta de spam un mensaje atrapado por error también lo entrena, en la dirección contraria, lo cual es igual de útil.

¿Puedo averiguar quién vendió mi dirección de correo?

Solo si lo habías previsto. Si cada servicio recibió una dirección que solo él tiene, la respuesta está esperando en la línea To: del spam. Si todos recibieron la misma dirección no hay nada que comparar ni nada que atribuir — el argumento a favor de un dominio catch-all es sobre todo este.

¿Las direcciones desechables detienen el spam?

Evitan que te llegue a ti, que no es lo mismo que detenerlo. El correo enviado a una dirección de usar y tirar llega, se elimina pasados 5 días y nunca toca el buzón que sí lees. Eso la convierte en la herramienta adecuada para un registro que no necesitas conservar, y en la herramienta equivocada para cualquier cosa que puede que tengas que recuperar.

Mi dirección apareció en una brecha de datos, ¿debería cambiarla?

Cambia lo que depende de ella, más que la dirección en sí. Traslada la dirección de recuperación de tus cuentas importantes, cambia cualquier contraseña que hayas reutilizado en otro sitio, y activa la verificación en dos pasos donde la ofrezcan. La dirección es pública desde ese día y ya no se puede volver a hacer privada, así que el trabajo útil consiste en limitar lo que todavía puede desbloquear.