Gmail 550 5.7.26 'sender is unauthenticated': causas y solución

550 5.7.26 This email has been blocked because the sender is unauthenticated significa que Gmail rechazó tu mensaje porque no pasó la autenticación. No tiene que ver con la dirección del destinatario: el mismo lead aceptará tu correo cuando tu dominio de envío pase. Gmail usa 5.7.26 para tres fallos distintos, y el texto te dice cuál: no pasó ni SPF ni DKIM, el registro SPF del dominio del sobre tiene fallo estricto, o la política DMARC del dominio del From indica rechazar. En casi todos los casos hay un servicio de envío que no está configurado para tu dominio. Encuéntralo, haz que firme DKIM con tu dominio y los rechazos se acaban.

Las tres versiones

Según la página Gmail SMTP errors and codes de Google (actualizada por última vez el 26 de octubre de 2026, leída el 2 de noviembre de 2026):

Texto del mensaje	Qué falló	Causa más probable
"This email has been blocked because the sender is unauthenticated." (bloqueado porque el remitente no está autenticado)	No pasó ni SPF ni DKIM	Un servicio que envía como tu dominio sin estar autorizado
"The (E)MAIL FROM domain [domain] has an SPF record with a hard fail policy (-all)..." (el dominio del MAIL FROM tiene un registro SPF con política de fallo estricto)	Falló SPF y el registro dice -all	La IP del servidor de envío no está en tu registro SPF
"Unauthenticated email from [domain] is not accepted due to domain's DMARC policy." (no se acepta correo no autenticado por la política DMARC del dominio)	Falló DMARC y la política es reject	SPF o DKIM pasaron para otro dominio, así que nada quedó alineado

La versión temporal es 421 4.7.26: "This email has been rate limited because it is unauthenticated." (este correo se limitó porque no está autenticado). Gmail aplaza antes de rechazar. Si ves 4.7.26, corrígelo ahora, antes de que se convierta en 5.7.26.

Los códigos relacionados tienen su propio número: 5.7.27 cuando falla SPF, 5.7.30 cuando falla DKIM, 5.7.40 cuando falta el registro DMARC y 4.7.32 cuando el encabezado From no está alineado. Nuestra referencia de códigos de rebote de Gmail los enumera todos.

Qué exige Gmail

Las directrices para remitentes de Google dicen que, desde el 1 de febrero de 2024, todos los que envían a cuentas de Gmail deben autenticarse con SPF o DKIM. Los remitentes masivos, los que envían unos 5000 mensajes o más al día a Gmail, deben tener SPF, DKIM y DMARC, con el dominio del From alineado. Las preguntas frecuentes de Google agregan que el conteo de 5000 es por dominio principal, incluidos los subdominios, y que desde noviembre de 2025 Gmail está "ramping up its enforcement on non-compliant traffic" (endureciendo la aplicación de las reglas al tráfico que no las cumple).

Requisito	Todos los remitentes	Remitentes masivos
Pasar SPF o DKIM	Obligatorio	Los dos obligatorios
Registro DMARC	Recomendado	Obligatorio, p=none es suficiente
Dominio del From alineado con SPF o DKIM	Recomendado	Obligatorio
Registro PTR para las IP de envío	Obligatorio	Obligatorio
TLS	Obligatorio	Obligatorio

Nuestro artículo sobre los requisitos de Gmail y Yahoo para envíos masivos cubre el resto de la lista, incluida la baja con un clic.

Encuentra el servicio que falla

El mensaje rechazado salió de un lugar concreto. Averigua cuál.

1. Mira el rebote. Normalmente cita la IP que se conectó a Gmail. Pásala por la búsqueda de DNS inverso para ver de quién es el servidor.
2. Revisa qué cambió. Una nueva plataforma de correo en frío, una nueva secuencia del CRM, un reenvío de correo, un formulario del sitio web o una herramienta de facturación que envía como tu dominio son los sospechosos habituales.
3. Envía una prueba desde ese servicio a una dirección de Gmail que controles, abre el mensaje, elige Mostrar original y lee las líneas de SPF, DKIM y DMARC. Nuestra guía de encabezados de correo explicados muestra qué significa cada línea, o pega los encabezados en el analizador de encabezados de correo.

Qué dice "Mostrar original"	Qué significa	Solución
SPF: FAIL, DKIM: none	El servicio no está en el SPF y no firma	Configura DKIM para el servicio y agrégalo al SPF
SPF: PASS para otro dominio, DKIM: PASS para otro dominio, DMARC: FAIL	El servicio se autentica como él mismo, no como tú	Configura en el servicio un dominio DKIM personalizado (el tuyo)
SPF: SOFTFAIL o FAIL, DKIM: PASS para tu dominio, DMARC: PASS	Bien, pese al resultado de SPF	Nada urgente; ordena el SPF más adelante
DKIM: FAIL (body hash)	Algo cambió el mensaje después de firmarlo	Busca pies de página o reenvíos que modifiquen el mensaje

Corrígelo, en este orden

1. Haz que el servicio firme DKIM con tu dominio

DKIM es la solución más robusta, porque sobrevive al reenvío y no depende de la IP de envío. Toda herramienta de envío seria te permite agregar tu dominio y publicar su clave DKIM. Para buzones, consulta la configuración de DKIM en Google Workspace o la configuración de DKIM en Microsoft 365. Confirma que la clave está publicada con el verificador de DKIM.

2. Agrega el servicio al SPF, con cuidado

Agrega el include: del servicio a tu registro SPF si envía con tu dominio en el sobre. SPF tiene un límite estricto de 10 consultas DNS, así que agregar includes sin contarlos puede romper el SPF para todo. Revisa el registro con el verificador de SPF y el conteo con el contador de consultas SPF. Si te pasas, nuestra guía sobre SPF con demasiadas consultas DNS muestra las opciones.

3. Publica DMARC, empezando con p=none

Si el dominio no tiene registro DMARC, publica v=DMARC1; p=none; rua=mailto:you@yourdomain.com. Eso cumple el requisito de Gmail para remitentes masivos sin rechazar nada, y los informes te muestran todos los servicios que envían como tu dominio. El generador de DMARC arma el registro y el verificador de DMARC lo confirma.

4. Revisa la alineación

DMARC solo pasa si SPF o DKIM pasan para el mismo dominio que la dirección del From. Una herramienta que firma con su propio dominio pasa DKIM pero falla DMARC. El verificador de alineación DMARC muestra si los tuyos coinciden.

5. Reenvía una vez, no de forma masiva

5.7.26 es permanente, así que los mensajes rechazados no se reintentan. Cuando un mensaje de prueba pase, vuelve a enviar a los leads rechazados, al ritmo normal.

Particularidades del correo en frío

• Cada dominio de envío necesita su propia configuración. Si usas varios dominios secundarios, cada uno necesita SPF, DKIM y DMARC, no solo el dominio principal.
• El dominio predeterminado de la plataforma no es el tuyo. Muchas herramientas de correo en frío envían con su propio dominio de sobre hasta que configuras uno personalizado, y eso puede fallar la alineación DMARC.
• No borres los leads. Un 5.7.26 no dice nada sobre la dirección. Si tu secuenciador suprime automáticamente ante cualquier 5xx, revisa que esos leads no se hayan eliminado.
• Revisa después de cualquier cambio de DNS. Cambiar de proveedor de DNS o agregar un servicio es justo cuando se pierden registros.

Revisiones rápidas para configuraciones comunes

Envías desde	Qué suele solucionar el 5.7.26
Buzones de Google Workspace	Activa la firma DKIM en la consola de administración y publica la clave; el SPF debe incluir _spf.google.com
Buzones de Microsoft 365	Activa DKIM para el dominio personalizado (dos registros CNAME); el SPF debe incluir spf.protection.outlook.com
Una plataforma de correo en frío por SMTP	Suele heredar la autenticación de tu buzón; revisa que la plataforma no reescriba el remitente del sobre
Una plataforma de marketing o un CRM	Agrega tu dominio en la plataforma y publica sus registros DKIM, más un return-path personalizado si lo ofrece
Un formulario o una app del sitio web	Envía a través de un proveedor transaccional configurado para tu dominio, no con el correo del propio servidor web
Un reenvío a Gmail	SPF se rompe al reenviar; DKIM suele sobrevivir, así que asegúrate de que el correo original esté firmado con DKIM

Dónde encaja SimpleVerifier

La verificación no toca tu autenticación, y el 5.7.26 no es un problema de la lista. Cuando tu dominio pase, la verificación se encarga del otro tipo de rechazo: la dirección que no existe. SimpleVerifier hace una comprobación en vivo del buzón de cada dirección y devuelve seguro para enviar, enviar con cuidado, revisar más tarde o no enviar, con el motivo. Los catch-all se quedan como riesgosos y nunca se dan por válidos a ciegas.

El verificador de requisitos para remitentes masivos, gratis y sin cuenta, prueba un dominio frente a los requisitos de Google. Para listas, las primeras 100 comprobaciones son gratis iniciando sesión con Google en la página de verificación, y Pro cuesta $39 al mes: los primeros 100 000 correos de cada mes van a máxima velocidad y después avanzan más despacio, sin cortes. Consulta los precios.