Todas las guías · Actualizado: 2026-10-18

Correo devuelto con «550 5.7.26»: qué te está diciendo Gmail

El 550 5.7.26 es la forma de Gmail de decir: no he podido confirmar que este correo viene de quien dice ser, así que lo he rechazado. Es un rechazo definitivo: el correo no se vuelve a intentar. La causa está casi siempre en el dominio de quien envía, y se corrige allí.

En las 1500 webs de pequeños negocios que comprobamos, las dos causas más comunes de este error eran frecuentes: 1 de cada 17 tenía el SPF roto, y la mitad de los dominios con correo en Google Workspace nunca había activado el DKIM.

Primero: ¿cuál de los tres mensajes recibiste?

El código es el mismo, pero el mensaje que viene después cambia. Busca en la devolución una de estas frases:

«the sender is unauthenticated»: ni el SPF ni el DKIM pasaron para este correo. Gmail exige uno de los dos a todo el mundo.
«has an SPF record with a hard fail policy (-all)»: el servidor que envió no está en tu SPF, y tu SPF termina en -all, que manda rechazar.
«is not accepted due to domain's DMARC policy»: tu DMARC está en quarantine o reject, y este correo no pasó el SPF ni el DKIM con tu dominio. Gmail hizo lo que tu DMARC pedía.

¿Recibiste la devolución de un correo que no enviaste? Entonces alguien intentó enviar en nombre de tu dominio, y tu DMARC lo frenó. Está funcionando: no hay nada que corregir.

Paso 1: descubre qué servicio envió el correo

El error rara vez viene de tu buzón. Casi siempre viene de otra cosa que envía en tu nombre: las newsletters, las facturas, la tienda online, el formulario de la web, un CRM. Mira el correo devuelto y pregúntate: ¿de dónde salió este?

Cada servicio que envía como tu dominio tiene que estar autorizado en el SPF o, mejor, firmar con DKIM en nombre de tu dominio. La ayuda de cada servicio lo llama «autenticar el dominio» (domain authentication).

Paso 2: si el mensaje habla del remitente o del SPF

Añade el servicio a tu SPF: el include: que te indica va al registro SPF que ya tienes, nunca a un segundo registro.
Activa el DKIM de ese servicio con tu dominio, siguiendo su ayuda (normalmente uno o dos registros CNAME o TXT).
Vuelve a enviar el correo.

Cambiar -all por ~all hace desaparecer el segundo mensaje, pero no arregla nada: el correo sigue sin SPF ni DKIM válidos y va igualmente a spam o se rechaza. Corrige el servicio, no el all.

Dos registros SPF o más de 10 consultas: cómo ordenar el SPF

DKIM en Google Workspace, paso a paso

DKIM en Microsoft 365, paso a paso

Paso 3: si el mensaje habla de la política DMARC

Tu DMARC está haciendo su trabajo, pero ha atrapado un correo auténtico. La corrección es la misma del paso 2: el servicio que envió tiene que firmar con DKIM en nombre de tu dominio (o pasar el SPF con tu dominio).

Si es urgente (por ejemplo, las facturas se están devolviendo), puedes poner el DMARC en p=none mientras corriges, y volver a quarantine justo después:

Tipo: TXT
Nombre (host): _dmarc
Valor: v=DMARC1; p=none; rua=mailto:dmarc@miempresa.es

No olvides volver: con p=none, cualquiera puede volver a enviar correos falsos en tu nombre sin que nada los frene.

DMARC: de p=none a p=quarantine, cuándo y cómo

Los vecinos: 5.7.27, 5.7.30 y los 4.7.x

550 5.7.27: el SPF no pasó. Gmail exige SPF a quien envía en volumen.
550 5.7.30: el DKIM no pasó. Gmail exige DKIM a quien envía en volumen.
421 4.7.26, 4.7.27 y 4.7.30: el mismo problema, pero temporal: Gmail está retrasando tus correos en vez de rechazarlos. La corrección es la misma, y conviene hacerla antes de que pase a definitivo.

«En volumen» quiere decir más de 5000 correos al día a cuentas de Gmail. Por debajo, basta con que pase uno de los dos (SPF o DKIM), pero tener los dos es lo que evita estos errores.

Paso 4: comprobar

Envía un correo de prueba desde el servicio que falló a una cuenta de Gmail tuya. Ábrelo, pulsa los tres puntos y «Mostrar original» (Show original). Arriba tienes SPF, DKIM y DMARC, cada uno con PASS o FAIL.

Y comprueba el dominio: Excubitor te dice si el SPF está roto, si el DKIM de Google o de Microsoft está desactivado y en qué punto está tu DMARC, con la prueba de cada uno.

Errores que vemos a menudo

Corregir el buzón cuando el correo devuelto salió de la herramienta de newsletters o de la facturación.
Crear un segundo registro SPF para el servicio nuevo, en vez de añadir el include: al que ya existe.
Publicar la clave DKIM de Google y no pulsar «Iniciar autenticación» (Start authentication).
Poner el DMARC en p=none para «solucionarlo» y no volver a subirlo nunca.

Para no tener que volver a comprobarlo

Estos errores aparecen el día en que alguien añade un servicio nuevo o toca el DNS. Excubitor puede vigilar el dominio cada semana y escribirte solo cuando algo cambia. Gratis para 1 dominio: haz la comprobación y pulsa «Avísame».