¿Darse de baja o marcar como spam? Cuándo es seguro pinchar

Sí, un enlace para darse de baja puede ser malicioso, y los peligrosos llegan en correos de remitentes que no conoces. En el correo que de verdad procede de una newsletter o de una tienda en la que te registraste, el enlace para darte de baja es seguro y es la forma más rápida de dejar de recibir sus mensajes. En el spam o en un mensaje que sospechas que es una estafa, no pinches en el enlace, porque puede confirmar que tu dirección funciona o abrir una página de inicio de sesión falsa. Así que, en la duda entre marcar como spam o darse de baja, no te des de baja: denuncia el mensaje.

El botón para darte de baja de tu propia app de correo suele ser la vía más segura. Pero cualquier forma de darte de baja le dice al remitente que tu dirección está activa. Eso no tiene importancia con una empresa que ya tiene tu dirección, y es justo lo que quiere un spammer. Para que las listas no lleguen a tu dirección principal desde el principio, CatchNone da a cada tienda y a cada newsletter su propia dirección y abre su correo con las imágenes remotas bloqueadas, en iPhone, iPad y Mac. Los menús y las normas de este artículo se comprobaron en septiembre de 2026 con la documentación de Google, Apple, Microsoft y Yahoo.

¿Es seguro el enlace para darse de baja? Depende de quién lo envíe

Fíjate en la última columna. Darte de baja, ya sea con un enlace, un botón o un correo, es un mensaje para el remitente. El RFC 8058, el estándar en el que se basa la baja con un clic, dice que da “un claro indicio al remitente de que la dirección a la que se envió el mensaje era válida”. Bloquear y borrar se quedan de tu lado, y marcar como spam no contacta directamente con el remitente. Abrir un mensaje y cargar sus imágenes puede que ya se lo haya dicho al remitente, que es como funcionan los píxeles de seguimiento en el correo.

¿No tienes claro que el correo venga de verdad de la empresa? No uses su enlace. El consejo de la FTC estadounidense sobre phishing es “contactar con la empresa mediante un número de teléfono o una web que sepas que son reales, no con la información del correo”. Abre la app de la empresa o escribe tú su dirección web, inicia sesión y desactiva los correos publicitarios en los ajustes de tu cuenta. En Outlook, un “?” en la foto del remitente significa que Outlook no ha podido verificar al remitente.

Cómo puede ser malicioso un enlace para darse de baja

Confirma que tu dirección está activa

Microsoft aconseja no responder nunca a un mensaje, “ni siquiera para darte de baja de una lista de correo”, salvo que conozcas al remitente y confíes en él, porque contestar al spam confirma que tu dirección está activa. La ICO, la autoridad de protección de datos del Reino Unido, dice que responder al spam “demuestra que tu dirección de correo está activa” y que, si pinchas en sus anuncios, “puedes recibir más correos”. Apple señala que los spammers también usan la carga de imágenes para comprobar si una cuenta está activa.

Una página falsa te pide la contraseña

Algunos enlaces “para darse de baja” llevan a una página que te pide iniciar sesión para gestionar tu suscripción. El consejo de Google sobre phishing es directo: si un enlace te pide la contraseña, “no introduzcas tu información, ve directamente al sitio web que quieres usar”. La CISA, la agencia de ciberseguridad de EE. UU., advierte de que las webs falsas “pueden parecer idénticas a un sitio legítimo, pero la URL puede tener una variación en la ortografía o un dominio distinto”.

Te empuja a descargar algo malicioso

La FTC dice que los estafadores a veces envían enlaces y archivos adjuntos “que, si se abren o se pulsan, instalan malware dañino en el dispositivo”. Si una página insiste en que descargues un archivo, una app o una “actualización de seguridad”, es el momento de cerrarla.

Cómo distinguir una página de baja real de una falsa

Una baja legítima nunca necesita tu contraseña, un pago ni una descarga. La guía de la FTC sobre la ley CAN-SPAM dice que los remitentes de EE. UU. no pueden cobrar por sacarte de una lista, pedirte datos personales “más allá de una dirección de correo” ni exigir más que un correo de respuesta o la visita a “una sola página de un sitio web de Internet”. Las recomendaciones de Yahoo para remitentes aconsejan un proceso de baja que “no obligue a los usuarios a iniciar sesión”. Cierra la página si:

• te pide iniciar sesión antes de poder darte de baja;
• quiere algo más que tu dirección de correo o te pide los datos de la tarjeta;
• te ofrece un archivo para descargar o una app para instalar.

Una página de confirmación con un único botón para darte de baja es normal: Mailchimp lleva a una así a quien pincha en el enlace del pie del correo. Tampoco es por sí solo una señal de alarma que el enlace esté en un dominio distinto del de la marca, porque plataformas como Mailchimp obligan a los remitentes a usar “el enlace de baja que proporcionamos”. El dominio importa en cuanto una página te pide iniciar sesión.

¿Con qué frecuencia son peligrosos los enlaces para darse de baja?

Nadie publica una tasa fiable. DNSFilter, una empresa de seguridad DNS, contó a The Wall Street Journal en junio de 2025 que aproximadamente 1 de cada 644 clics en enlaces con “unsubscribe” en la dirección llevaba a webs potencialmente maliciosas. No ha publicado cómo lo midió, así que tómalo como una señal de que el riesgo es real, no como tu probabilidad de toparte con uno.

¿Es más seguro el botón de tu app de correo para darte de baja que el enlace?

Normalmente, sí. Las listas de correo pueden añadir un encabezado oculto, List-Unsubscribe, que le indica a tu app de correo cómo sacarte de la lista. Procede del RFC 2369, de 1998, y puede contener una dirección web, una dirección de correo o ambas. Cuando tu app lo encuentra, puede mostrar su propio control para darte de baja.

Es más seguro por dos motivos:

• Gmail y Yahoo deciden si lo muestran. Las preguntas frecuentes de Gmail para remitentes dicen que muestra su botón “solo en los mensajes que superan las comprobaciones automáticas de idoneidad de Google”, que incluyen sus normas para remitentes y las denuncias de spam de los destinatarios. Yahoo muestra su botón azul para darse de baja junto a la dirección del remitente solo si hay un encabezado de baja con un clic correcto y “suficiente reputación e interacción” (preguntas frecuentes de Yahoo para remitentes). No todas las apps examinan así a los remitentes: Apple no documenta ninguna comprobación de este tipo, y algunas apps muestran el botón en cualquier mensaje que lleve el encabezado, spam incluido.
• La baja con un clic no abre ninguna página web. Tu app envía una única solicitud en segundo plano. El RFC 8058 dice que “NO DEBE incluir cookies, autorización HTTP ni ninguna otra información de contexto”, y el remitente no puede redirigirla. No hay nada en lo que iniciar sesión ni nada que descargar.

No es una garantía:

• “Ir al sitio web”. Gmail dice que algunos remitentes te obligan a visitar su web: el mismo tipo de página que el enlace del correo.
• Bajas por correo. Cuando una app usa la dirección mailto: del encabezado, el resultado es un correo desde tu dirección a la lista, justo el tipo de respuesta que Microsoft desaconseja.
• Sigue confirmando tu dirección. El RFC 8058 dice que la solicitud debe llevar “información suficiente para identificar al destinatario del correo y la lista”.
• No demuestra que el remitente sea honrado. La baja con un clic requiere una firma DKIM, que muestra qué dominio firmó el mensaje, no que ese dominio sea de fiar. Un spammer puede firmar el correo desde su propio dominio.
• Solo cubre una lista. Gmail dice que “puede que solo te dé de baja de una única lista de distribución del remitente”.

Así que usa el botón con los remitentes que reconoces y, con el spam, márcalo como spam en lugar de darte de baja.

¿Qué es la baja con un clic?

La baja con un clic (one-click unsubscribe), definida en el RFC 8058 en 2017, añade un segundo encabezado, List-Unsubscribe-Post, para que tu app de correo pueda sacarte de una lista con una sola solicitud HTTPS en segundo plano: sin página web y sin correo. En el móvil a veces se llama baja con un toque. Este es el ejemplo del RFC. Para ver los encabezados de un mensaje real en Gmail en la web, ábrelo, haz clic en “More” (Más) junto a “Reply” (Responder) y luego en “Show original” (Mostrar original).

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe enumera las vías de salida: una dirección de correo y una dirección web.
• opaque=123456789 es la parte que identifica quién eres y de qué lista se trata.
• List-Unsubscribe-Post la convierte en baja con un clic: tu app envía POST /unsubscribe.html?opaque=123456789 con el cuerpo List-Unsubscribe=One-Click, y no se abre ninguna página.

La baja con un clic existe porque los programas antispam que abren automáticamente la dirección de baja de los encabezados daban de baja a la gente sin querer, así que los remitentes añadieron páginas de confirmación. Un POST permite a los remitentes distinguir tu solicitud de esos accesos automáticos, así que no hace falta ninguna página de confirmación. Tu app no debe enviarla “sin el consentimiento del usuario”, y por eso te pide que confirmes.

Dónde encontrar el botón integrado para darte de baja

Gmail

En la web, Android, iPhone y iPad, la baja con un clic de Gmail está junto al nombre del remitente (pasos de Google):

1. Abre un correo del que quieras darte de baja.
2. Junto al nombre del remitente, haz clic o toca “Darse de baja”.
3. En la ventana emergente, elige “Darse de baja” o “Ir al sitio web”.

El correo puede tardar unos días en dejar de llegar. La vista “Gestionar suscripciones” de Gmail, lanzada en julio de 2025 y que aún “se está implementando de forma gradual”, te da de baja de todas las listas activas de un remitente a la vez y envía a Spam el correo nuevo de ese remitente. Para abrirla, en la web haz clic en “More” (Más) > “Gestionar suscripciones”, o en las apps toca “Menu” (Menú) > “Gestionar suscripciones”.

Apple Mail en el Mac

En macOS 26 y macOS 27, un banner debajo del encabezado señala los mensajes que proceden de una lista de correo. Haz clic en “Unsubscribe” (darse de baja) en el banner y, después, en “OK” (Aceptar) en la alerta (pasos de Apple). Apple no documenta si Mail envía una solicitud de baja con un clic o un correo desde tu cuenta, así que úsalo solo con remitentes que conozcas.

iPhone y iPad

Los manuales del iPhone y del iPad de Apple no documentan ningún control para darse de baja dentro de los mensajes. En su lugar, documentan iCloud Mail Cleanup (limpieza del correo de iCloud), que solo funciona con iCloud Mail (Correo de iCloud) y no está disponible en todos los idiomas. Sugiere remitentes de “Updates” (Actualizaciones) y “Promotions” (Promociones) y mueve su correo futuro a la papelera. En iOS 26 y 27 está en Ajustes > [tu nombre] > iCloud > Mail > “iCloud Mail Cleanup”; tienes todos los pasos en cómo encontrar las listas de correo en las que estás.

Si Mail muestra su propio botón para darte de baja en la parte superior de un mensaje, Apple tampoco explica cómo funciona, así que úsalo solo con remitentes que conozcas.

Outlook.com

Microsoft no documenta un botón para darse de baja en cada mensaje ni en Outlook.com, ni en el nuevo Outlook, ni en las apps de Outlook. En su lugar, Outlook.com muestra los remitentes que reconoce en “Settings” (Configuración) > “Mail” (Correo) > “Subscriptions” (Suscripciones), con una opción para darte de baja de cada uno. En algunas apps, el cuadro de diálogo para denunciar un mensaje también ofrece darte de baja; con el correo del que no te fías, elige solo la opción de denunciar o la de bloquear.

¿Por qué algunos correos no tienen botón para darse de baja?

Normalmente, porque el mensaje no ha superado las comprobaciones de tu proveedor o no lleva un encabezado utilizable:

• Las comprobaciones de Gmail y Yahoo. Como se explica más arriba, un encabezado correcto no basta si no se superan. Google dice que esto es así “incluso cuando los remitentes añaden su propio enlace de baja en el cuerpo del mensaje”.
• Las excepciones de Outlook.com. Puede que no veas la opción en el correo filtrado como no deseado ni en el de los remitentes de tu lista de bloqueados.
• Sin firma DKIM. El RFC 8058 dice que, sin ella, una app “NO DEBERÍA ofrecer la baja con un clic”.
• Correo transaccional. Los tickets de compra, los correos para restablecer la contraseña y los códigos de un solo uso no son suscripciones, y Gmail y Yahoo no exigen en ellos la baja con un clic.
• Remitentes que nunca lo configuraron. Sin un encabezado List-Unsubscribe, tu app no tiene nada que mostrar.

Que falte el botón no significa que el mensaje sea una estafa, y que esté no demuestra que el remitente sea honrado.

Por qué la baja con un clic se generalizó en 2024

Google anunció el 3 de octubre de 2023 unas normas para los remitentes masivos, y Yahoo respaldó los mismos cambios. Sus normas, a septiembre de 2026:

Los demás piden menos. Las normas de Microsoft para Outlook.com, vigentes desde el 5 de mayo de 2025, exigen SPF, DKIM y DMARC a los dominios que envían más de 5000 correos al día, pero solo recomiendan un enlace de baja que funcione. La página para postmasters de iCloud Mail de Apple pide a los remitentes masivos “un enlace para darse de baja”.

En Gmail, solo cuenta el encabezado: las preguntas frecuentes de Google dicen que los enlaces de baja mailto: y de URL “no cumplen nuestro requisito de baja con un clic”, y desde noviembre de 2025 Gmail empezó a “intensificar la aplicación” de las normas, incluido el rechazo de mensajes. Son normas de los proveedores, no leyes; el mínimo legal está en las preguntas frecuentes de abajo.

¿Darse de baja, marcar como spam, bloquear o denunciar phishing?

Hay dos detalles que confunden a mucha gente. En Gmail, bloquear “no te da de baja automáticamente de su lista de distribución”, como dice la ayuda de Google sobre suscripciones. En Outlook, cuando denuncias phishing, el remitente queda denunciado pero no bloqueado, así que bloquéalo también si sigue escribiendo.

Las rutas para denunciar y bloquear en Gmail, Outlook y Apple Mail, y qué hacer con el spam que sigue llegando de todos modos, están en qué reduce de verdad el spam. Una que se pasa por alto con facilidad: en Gmail en el ordenador, “Report phishing” (Denunciar phishing) está en “More” (Más), junto a “Reply” (Responder). Si una empresa real sigue escribiéndote después de darte de baja, consulta por qué darse de baja no funciona para ver las causas habituales.

Qué hacer si ya has pinchado en un enlace sospechoso para darte de baja

¿Has pinchado o tocado sin querer en un enlace para darte de baja de un correo de spam? Qué hacer depende de lo que pasó después:

• Solo has pinchado o tocado. Cierra la página, marca el correo como spam o denúncialo como phishing, y bórralo. El clic puede haber confirmado tu dirección, así que es posible que te llegue más spam.
• Se ha descargado algo. No lo abras; bórralo. La FTC dice que hay que “actualizar el software de seguridad del ordenador y, después, hacer un análisis y eliminar todo lo que detecte como un problema”.
• Has escrito una contraseña. Entra tú directamente en la web real, no a través del correo, y cambia la contraseña enseguida. Después, cámbiala en cualquier otro sitio donde la usaras. Activa la verificación en dos pasos y busca inicios de sesión que no reconozcas; nuestra guía para comprobar si han hackeado tu cuenta de correo cubre Google, Microsoft y Apple.
• Has dado los datos de tu tarjeta o de tu banco. Ponte en contacto ya con tu banco o con el emisor de la tarjeta. En EE. UU., entra además en IdentityTheft.gov. En el Reino Unido, denúncialo en reportfraud.police.uk o llama al 0300 123 2040 (Inglaterra, Gales e Irlanda del Norte), o llama a Police Scotland al 101.

Para denunciar el correo fuera de tu proveedor de correo, ante el APWG y la FTC en EE. UU. o el NCSC en el Reino Unido, consulta dónde denunciar el spam y el phishing. En España, si ya has pinchado y tienes dudas, puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE.

Deja de tener que darte de baja: una dirección por lista

La solución más limpia está en el origen: da a cada tienda y a cada newsletter su propia dirección. Cuando una lista te ignora, vende tu dirección o sufre una filtración, solo se ve afectada esa dirección, y puedes filtrarla o desactivarla sin tocar las demás. Los consejos de Apple contra el spam terminan con “usa un alias de correo electrónico”.

La versión más sencilla es una dirección con el signo + (plus addressing): en los proveedores que la admiten, Gmail incluido, el correo enviado a you+shop@example.com llega a you@example.com. Eso sí, cualquiera puede borrar la etiqueta, así que el remitente puede deducir tu dirección principal. Los alias independientes no la revelan, y CatchNone, del que hablamos más abajo, te da uno para cada lista y muestra su correo en su propia app. Nuestra guía sobre qué dirección usar para registrarte compara las opciones.

Una dirección por lista, con CatchNone

CatchNone da a cada tienda, newsletter o cuenta su propia dirección: una dirección @catchnone.com aleatoria con Premium, sin dominio ni buzón que configurar, o una en un dominio tuyo, hasta 10 en el plan Gratis e ilimitadas en Lite y Premium. Cada mensaje lleva la etiqueta del alias al que llegó, así que una lista que vende o filtra tu dirección queda a la vista. Es de solo recepción por diseño: el correo de los registros se queda en su propia app. Los mensajes se abren con JavaScript desactivado, y las imágenes remotas, incluida la mayoría de los píxeles de seguimiento, siguen bloqueadas hasta que las cargas. Si una lista te ignora o un alias empieza a recibir spam, marca como “Fuera de uso” su alias @catchnone.com y los remitentes recibirán una devolución, mientras tus otros alias siguen funcionando; en tu propio dominio, bloquea la dirección en tu proveedor.

Su botón “Cancelar suscripción” te pide primero que confirmes. En las listas con baja con un clic, envía entonces la solicitud desde tu dispositivo, sin cookies y sin abrir ninguna página web, aunque la lista sigue viendo la dirección IP de tu dispositivo y sabe que el alias está activo. Si no, y la lista indica una dirección de correo, abre en tu app de correo habitual un mensaje con el destinatario ya puesto, que se envía desde tu dirección real. Si tampoco la indica, abre la página del remitente. Los enlaces se abren en tu navegador sin modificarse, y el botón aparece en cualquier mensaje con un encabezado List-Unsubscribe, porque CatchNone no comprueba DKIM ni la reputación del remitente, así que úsalo con listas que reconozcas. Descarga CatchNone para iPhone, iPad y Mac.

Preguntas frecuentes

¿Es seguro darse de baja de correos en el iPhone?

Con remitentes que conoces, sí: en la app de Gmail, toca “Darse de baja” junto al nombre del remitente; para iCloud Mail, usa iCloud Mail Cleanup, y, si no, usa el enlace del correo. Con el spam, desliza hacia la izquierda, toca “More” (Más) y luego “Move to Junk” (mover a No deseado). Apple también sugiere activar “Proteger la actividad en Mail” (Ajustes > Apps > Mail > “Protección de la privacidad”), y nuestra guía sobre cómo funciona la Protección de la privacidad de Mail explica qué cambia.

¿Debo darme de baja de los correos de spam?

No. El spam no es una lista a la que te hayas apuntado, así que no hay nada de lo que salir, y pinchar, tocar o responder puede confirmar que tu dirección está activa. Márcalo como spam o no deseado, lo que entrena tu filtro y no contacta directamente con el remitente, y bórralo; si el mismo remitente sigue escribiendo, bloquea la dirección. Date de baja solo de las listas en las que te registraste, y marca como spam cualquier lista que ignore tu baja.

¿Qué pasa cuando pincho en “Darse de baja” en Gmail?

Una ventana emergente te pide que confirmes con “Darse de baja”, o te ofrece “Ir al sitio web” si el remitente exige usar su propia página. El correo puede tardar unos días en dejar de llegar. Si el remitente vuelve a escribir después de que te des de baja, Gmail mete el correo nuevo en Spam.

¿Marcar como spam avisa al remitente?

En Gmail, no de forma individual: marcar como spam mueve el mensaje a Spam y entrena el filtro, y la información que Gmail da a los remitentes masivos son datos agregados de quejas por campaña. Yahoo es distinto: su Complaint Feedback Loop (circuito de quejas) envía a los remitentes inscritos un informe, con los encabezados del mensaje, cuando marcas su correo como spam. Si se trata de una lista a la que sí te apuntaste, Google aconseja darte de baja en su lugar.

¿Son obligatorios por ley los enlaces para darse de baja?

En EE. UU., la ley CAN-SPAM exige que el correo comercial incluya una forma de darse de baja que funcione, atendida en un plazo de 10 días hábiles; el botón de baja con un clic procede de las normas para remitentes de Gmail y Yahoo, no de la ley. Los plazos por país están en por qué darse de baja no funciona.