¿IMAP borra los mensajes del servidor? IMAP frente a POP3

Sí, cuando borras un mensaje: IMAP borra los mensajes del servidor y, por tanto, de todas las apps que conectes. El servidor guarda la única copia real de tu correo y cada app trabaja sobre ella, así que leer o descargar un mensaje no elimina nada, pero borrarlo en una app lo borra en todas. La mayoría de las apps lo mueven primero a la papelera, desde donde aún puedes recuperarlo, mientras que Gmail suele archivarlo en All Mail (Todos). POP3 funciona de otra manera: descarga el correo en un solo dispositivo y, según cómo esté configurado, puede borrar la copia del servidor. Si quieres leer el correo de los alias de un dominio tuyo en una app que no puede borrar nada, CatchNone lee ese buzón en modo de solo lectura por IMAP o JMAP y nunca marca, mueve ni borra ningún mensaje en el servidor, en iPhone, iPad y Mac.

¿IMAP borra los mensajes del servidor en todas las apps?

Sí, aunque normalmente primero van a la papelera en lugar de borrarse para siempre. El estándar actual de IMAP (Internet Message Access Protocol), el RFC 9051, describe IMAP como una forma de trabajar con “carpetas de mensajes remotas” como si fueran locales. Las apps IMAP sí descargan los mensajes: el móvil, el portátil y el webmail pueden guardar cada uno copias en caché para ir más rápido y para leer sin conexión, pero esas copias siguen al servidor. Cuando un mensaje desaparece del servidor, desaparece de todas las apps en la siguiente sincronización.

Borrar tiene dos pasos: marcar y después purgar

1. La app pone la marca \Deleted en el mensaje. Queda marcado para eliminarse, pero sigue ahí.
2. El comando EXPUNGE, o cerrar la carpeta con CLOSE, elimina para siempre todos los mensajes marcados de esa carpeta.

Hasta el segundo paso, quitar la marca recupera el mensaje. Las apps de escritorio antiguas lo dejaban ver: la ayuda de Microsoft para Outlook 2010 muestra tachados los mensajes IMAP marcados para eliminarse hasta que se purgan, y a partir de ese momento “se eliminan del servidor de correo IMAP y no se pueden restaurar”.

Borrar suele significar “mover a la papelera”

La mayoría de las apps actuales, en cambio, mueven el mensaje borrado a una carpeta de papelera del servidor. En términos de IMAP, suele ser un MOVE: una copia, una marca \Deleted y una purga, hechas en un solo paso. Todos los dispositivos ven el mensaje en la papelera, y solo desaparece para siempre cuando alguien la vacía: tú, la app o el proveedor. A fecha de septiembre de 2026, Gmail elimina definitivamente los mensajes de la papelera al cabo de 30 días, y la guía de Mail para el iPhone de Apple indica que iCloud no conserva los mensajes eliminados más de 30 días, sea cual sea el ajuste de tu iPhone.

Gmail: etiquetas, no carpetas

Gmail muestra sus etiquetas a las apps IMAP como carpetas, con carpetas del sistema como All Mail (Todos), Spam y Trash (Papelera) dentro de [Gmail]. Borrar un mensaje de la carpeta de una etiqueta normalmente solo le quita esa etiqueta. La guía de configuración de IMAP de Google dice: “Los mensajes que elimines de una carpeta IMAP los encontrarás en la etiqueta ‘All Mail’ de Gmail”. También desaconseja que la app mueva los mensajes eliminados a la papelera de Gmail, porque “se eliminarán definitivamente de Gmail al cabo de 30 días”. Los ajustes de borrado del propio Gmail, en el servidor, están en la tabla de abajo.

¿Outlook borra del servidor el correo IMAP?

Sí. Cuando Outlook se conecta por IMAP, trabaja sobre la copia del servidor como cualquier otra app, así que lo que borras en él llega a todos los dispositivos; algunas versiones antiguas muestran antes el mensaje tachado, como se ha explicado arriba. Si tu buzón es de Outlook.com o Hotmail, su servidor IMAP es outlook.office365.com en el puerto 993, y Microsoft exige el inicio de sesión moderno (OAuth2). Desde el 16 de septiembre de 2024, las apps que solo envían un nombre de usuario y una contraseña ya no funcionan con las cuentas de Outlook.com y Hotmail.

Adónde va el correo borrado en las apps más habituales

Algunas opciones se saltan la papelera: None en el Mac, Remove it immediately en Thunderbird y el ajuste de Gmail que elimina para siempre. Fuera de Gmail, también lo hace Just mark it as deleted de Thunderbird: el mensaje sigue marcado hasta que se purga la carpeta, y entonces desaparece. La opción predeterminada de Thunderbird es la papelera; para las cuentas de Gmail, Google recomienda Just mark it as deleted con las dos casillas “on Exit” (al salir) desmarcadas. La última palabra la tiene el proveedor: la guía de Mail para Mac de Apple dice que, si el servidor está configurado para eliminar los mensajes antiguos, se eliminan “independientemente de cómo cambies esta opción”.

¿Leer un correo en otra app lo marca como leído en todas?

Con IMAP, sí. El estado de leído es la marca \Seen, que se guarda en el servidor, así que se sincroniza igual que un borrado. Una app que descarga un mensaje pidiendo BODY[] lo marca como leído. Una que pide BODY.PEEK[] lo deja como estaba, y puede poner ella misma \Seen cuando abres el mensaje.

JMAP, el protocolo más reciente del que hablamos más abajo, sincroniza el estado de leído del mismo modo. POP3 no tiene estado de leído, así que cada dispositivo lleva el suyo. La excepción es Gmail, cuyos ajustes de POP pueden marcar como leída la copia de Gmail cuando otra app la descarga.

IMAP o POP3: ¿cuál conserva tu correo en el servidor?

IMAP lo conserva en el servidor por diseño. POP3 (Post Office Protocol version 3, que suele llamarse solo POP; RFC 1939) se creó para lo contrario: “normalmente, el correo se descarga y después se elimina”.

POP también borra en dos pasos. El comando DELE solo marca un mensaje, y el servidor lo elimina cuando la app cierra la sesión con QUIT. “Leave messages on server” (dejar los mensajes en el servidor) es un ajuste de la app. El estándar lo llama una “versión débil” de lo que hace IMAP, y puede que un servidor no lo respete. Lo que pase con la copia del servidor depende de la app y del proveedor:

• Thunderbird: las cuentas POP nuevas creadas con el asistente de cuentas de Thunderbird dejan el correo en el servidor un máximo de 14 días de forma predeterminada, y borrar un mensaje en local borra también la copia del servidor.
• Gmail: los ajustes de POP ofrecen Keep Gmail’s copy in the Inbox (conservar la copia de Gmail en Recibidos), Mark Gmail’s copy as read (marcar la copia de Gmail como leída), Archive Gmail’s copy (archivar la copia de Gmail) o Delete Gmail’s copy (eliminar la copia de Gmail).
• Yahoo: su acceso POP “descarga copias de tu correo, así que puedes moverlas y eliminarlas en la app sin que eso afecte a los correos originales”.

Usa IMAP salvo que tengas un motivo concreto para no hacerlo. POP encaja cuando quieres que un solo ordenador guarde la única copia, por ejemplo para descargar el correo de una cuenta antigua antes de cerrarla, y ese ordenador tiene copia de seguridad.

¿No sabes cuál usa tu app? Mira los ajustes del servidor de la cuenta: el puerto 993 o 143 significa IMAP, y el 995 o 110, POP. Exchange y Microsoft Graph son protocolos propios de Microsoft, distintos de ambos.

Qué proveedores ofrecen IMAP o POP3

Servidores y puertos, a fecha de septiembre de 2026:

Qué significa el acceso IMAP de solo lectura

El acceso IMAP de solo lectura significa que la app abre una carpeta con EXAMINE en lugar de SELECT y descarga los mensajes con BODY.PEEK[] en lugar de BODY[]. En el buzón no cambia nada: ningún mensaje se marca como leído ni con indicador, ni se mueve ni se borra. Un cliente de correo de solo lectura es cualquier app que se limita a esos comandos.

Puedes ver la diferencia en la respuesta del servidor. Estos dos intercambios son los ejemplos del RFC 9051 (C: es la app, S: el servidor y blurdybloop es el nombre de carpeta de ejemplo del estándar):

C: A142 SELECT INBOX
S: * 172 EXISTS
S: * OK [UIDVALIDITY 3857529045] UIDs valid
S: * OK [UIDNEXT 4392] Predicted next UID
S: * FLAGS (\Answered \Flagged \Deleted \Seen \Draft)
S: * OK [PERMANENTFLAGS (\Deleted \Seen \*)] Limited
S: * LIST () "/" INBOX
S: A142 OK [READ-WRITE] SELECT completed

C: A932 EXAMINE blurdybloop
S: * 17 EXISTS
S: * OK [UIDVALIDITY 3857529045] UIDs valid
S: * OK [UIDNEXT 4392] Predicted next UID
S: * LIST () "/" blurdybloop
S: * FLAGS (\Answered \Flagged \Deleted \Seen \Draft)
S: * OK [PERMANENTFLAGS ()] No permanent flags permitted
S: A932 OK [READ-ONLY] EXAMINE completed

La última línea de cada respuesta indica cómo está abierta la carpeta: [READ-WRITE] o [READ-ONLY]. PERMANENTFLAGS enumera las marcas que la app puede cambiar de forma permanente: en estos ejemplos, \Deleted, \Seen y palabras clave nuevas (\*) después de SELECT, y ninguna después de EXAMINE. En una carpeta abierta con EXAMINE, el estándar no permite “ningún cambio en el estado permanente del buzón, incluido el estado de cada usuario”, y al cerrarla no se purga nada.

¿El servidor impone el modo de solo lectura?

Por IMAP, y en tu propio buzón, solo cuando la app lo pide. Tras EXAMINE, el servidor mantiene esa carpeta en solo lectura durante la sesión. Todo lo demás queda en manos de la app:

• El mismo inicio de sesión puede enviar SELECT en su lugar, en cualquier momento.
• EXAMINE cubre una sola carpeta. Los comandos de nivel de cuenta como DELETE (una carpeta entera), RENAME y APPEND siguen funcionando.
• Usar BODY.PEEK[] es una decisión exclusiva de la app.

Un servidor también puede imponer el modo de solo lectura mediante derechos de acceso (RFC 4314), pero eso se usa para buzones compartidos y delegados. Gmail, Outlook.com, iCloud y Fastmail no documentan ningún inicio de sesión IMAP de solo lectura para tu propio buzón; lo más parecido es el token JMAP de solo lectura de Fastmail, del que hablamos más abajo.

Qué permite tu contraseña o tu inicio de sesión

Fastmail permite limitar una contraseña de aplicación por tipo de datos, pero no documenta ninguna opción de solo lectura. El permiso de solo lectura de Google solo existe para su propia API de Gmail, no para IMAP. Así que, cuando una app dice que es de solo lectura, confías en la app, no en la contraseña.

Cómo probar una app de correo nueva sin riesgos

1. Elige IMAP (o JMAP), no POP. Una app POP puede quitar el correo del servidor al descargarlo. Una app IMAP deja el correo donde está, aunque los borrados se siguen sincronizando (paso 4).
2. Usa un token de solo lectura si tu proveedor y tu app lo admiten. Solo funciona con apps que se conectan por JMAP. En Fastmail, ve a “Settings” (Ajustes) > “Privacy & Security” (Privacidad y seguridad) > “Connected apps & API tokens” (Apps conectadas y tokens de API) > “Manage API tokens” (Gestionar tokens de API) > “New API token” (Nuevo token de API), elige JMAP y selecciona Read-only access (acceso de solo lectura) y Email (correo), y nada más (guía de tokens de API de Fastmail). Nuestra guía de Fastmail explica paso a paso cómo crear el token. Los tokens de API no están disponibles en el plan Basic de Fastmail, a fecha de septiembre de 2026.
3. Si no, dale su propia contraseña de aplicación. Así podrás revocar esa contraseña más adelante sin tocar tus otras apps. Para iCloud, créala en account.apple.com > “Inicio de sesión y seguridad” > “Contraseñas específicas para apps”; nuestra guía de contraseñas específicas para apps de iCloud te lo explica paso a paso. Para Gmail necesitas la “Verificación en dos pasos”, y Google prefiere Sign in with Google cuando la app lo ofrece; consulta contraseñas de aplicación de Gmail y ajustes de IMAP.
4. Nada más añadir la cuenta, antes de borrar nada, revisa su ajuste de borrado. Usa la tabla de arriba: elige la papelera o el archivo (en Gmail, sigue el consejo de Google que verás más arriba en lugar de la papelera) y evita None, Remove it immediately y, fuera de Gmail, Just mark it as deleted hasta que confíes en la app.
5. Haz la prueba con un mensaje que no necesites. Envíate uno, ábrelo en la app nueva y comprueba si aparece como leído en tu app habitual. Después, bórralo en la app nueva y mira adónde va a parar.
6. Revoca la contraseña cuando dejes de usar la app. La página de contraseñas específicas para apps de Apple explica “Remove” (Eliminar) y “Revoke All” (Revocar todas). Las de Google se gestionan en myaccount.google.com/apppasswords, como explica su página de ayuda sobre contraseñas de aplicación.

JMAP frente a IMAP, en resumen

JMAP (JSON Meta Application Protocol) es un protocolo de correo más reciente para la misma tarea, publicado en 2019 como RFC 8620 y RFC 8621, con un ingeniero de Fastmail como autor principal. Envía JSON por HTTPS en lugar de los comandos de texto de IMAP, y cada solicitud debe usar TLS 1.2 o posterior. La introducción del IETF dice que IMAP “consume muchos recursos” y que encaja mal en las redes móviles.

Para el borrado y el estado de leído, el modelo te resultará familiar:

• Un mensaje puede estar en varios buzones a la vez, de forma muy parecida a las etiquetas de Gmail.
• Borrar suele significar moverlo al buzón que tiene el rol de papelera. “Destruirlo” lo quita de todos los buzones.
• El estado de leído es la palabra clave $seen, la versión de JMAP de \Seen.
• El servidor indica a cada app si toda la cuenta es de solo lectura.

¿Te afecta? Solo si tu proveedor ofrece JMAP y tu app lo admite. Fastmail lo ofrece en los planes superiores a Basic. En cuanto a las apps, Thunderbird para escritorio aún no lo admite, aunque su anuncio del 2 de septiembre de 2026 dice que el equipo se muestra optimista sobre añadirlo más adelante. En cualquier caso, los borrados se sincronizan igual que en IMAP.

¿Es seguro IMAP en el puerto 993? ¿Qué es STARTTLS?

Sí, en tránsito. En el puerto 993, IMAP va cifrado desde el primer byte: la conexión empieza con un protocolo de enlace TLS (TLS handshake), el mismo tipo de protección que HTTPS da a una web. Esto se llama TLS implícito. El puerto 143 es el puerto de IMAP en texto claro, donde una app puede pasar a una conexión cifrada con el comando STARTTLS.

Los estándares ya prefieren el puerto 993. El RFC 8314 (2018) recomienda a las apps de correo el TLS implícito frente a STARTTLS, con TLS 1.2 o posterior, y el RFC 9051 exige que todo servidor que siga el estándar actual ofrezca TLS implícito. Un estudio presentado en USENIX Security en 2021 encontró más de 40 fallos de STARTTLS en clientes y servidores de correo, y unos 320 000 servidores (2 %) expuestos a inyección de comandos. Muchos se corrigieron tras hacerse públicos, pero los autores concluyeron que STARTTLS “debería evitarse”. Fastmail no lo ofrece para IMAP ni POP, y Gmail e iCloud exigen una conexión cifrada (SSL/TLS) en el puerto 993.

TLS protege la conexión, no el mensaje almacenado, y no es cifrado de extremo a extremo; el propio RFC 8314 lo dice. Así que el puerto 993 protege tu contraseña y tu correo por el camino, y nada más. Los puntos débiles son tu contraseña (usa la autenticación de doble factor y contraseñas de aplicación) y lo que cada app haga con el acceso que le das.

Un cliente de solo lectura para tus alias: CatchNone

CatchNone es un cliente de solo lectura exactamente en el sentido que acabamos de ver, pensado para los alias de correo de un dominio tuyo. Por IMAP (TLS implícito, puerto 993 de forma predeterminada) abre solo tu bandeja de entrada con EXAMINE y descarga con BODY.PEEK[]; por JMAP usa un token de acceso. Nunca marca, mueve ni borra nada en tu servidor, así que ninguno de los borrados de este artículo puede empezar en él. Lee tu buzón directamente desde tu dispositivo, y ese correo nunca pasa por los servidores de CatchNone.

Cada tienda, newsletter o cuenta recibe su propio alias, y cada mensaje lleva una etiqueta con el alias al que llegó, así que una dirección filtrada o vendida salta a la vista. CatchNone es de solo recepción por diseño: el correo de los registros se queda en su propia app, aparte de tu bandeja de entrada principal. El plan Gratis cubre hasta 10 alias en tu propio dominio, y Lite y Premium no tienen límite. Si prefieres prescindir del dominio y del buzón, Premium añade direcciones @catchnone.com sin nada que configurar.

La contraseña o la contraseña de aplicación que introduces sigue teniendo acceso completo: el modo de solo lectura depende de cómo se comporta la app, no de lo que permite la credencial. No admite POP3, Exchange, STARTTLS ni el inicio de sesión con OAuth, así que probablemente no se puedan conectar Outlook.com y Hotmail, y Gmail necesita una contraseña de aplicación. El correo de tu dominio tiene que llegar antes a esa bandeja de entrada, normalmente mediante una dirección catch-all en un proveedor de correo que admita catch-all; el correo que se clasifica como spam o que una regla mueve a otra carpeta no aparece. Descarga CatchNone para iPhone, iPad y Mac.

Preguntas frecuentes

¿Qué significa “borrar del servidor”?

El servidor de tu proveedor guarda la copia maestra de tu correo; tus apps guardan copias. Con IMAP, cada borrado es un borrado en el servidor, normalmente pasando por la papelera. Con POP, depende de un ajuste: la app deja la copia del servidor después de descargarla o la elimina.

He borrado un correo por error. ¿Puedo recuperarlo?

Normalmente sí, si te das prisa. Busca en la papelera (o en la carpeta de eliminados) del servidor, desde el webmail o desde cualquier app; en Gmail, mira también en All Mail (Todos). Gmail e iCloud conservan lo que hay en la papelera un máximo de 30 días, a fecha de septiembre de 2026. Una vez vaciada la papelera o purgado el mensaje, desaparece de todas las apps.

¿Puedo borrar correo en el móvil y conservarlo en el servidor?

No con un borrado IMAP, que lo elimina en todas partes. Archívalo en su lugar: en el iPhone, selecciona Archive Mailbox (Buzón de archivo) en Move Discarded Messages Into (Trasladar mensajes descartados a), y los mensajes que descartes irán a tu buzón de archivo en lugar de a la papelera. Con POP y “Leave messages on server” (dejar los mensajes en el servidor), un borrado local no toca la copia del servidor, salvo que la app también esté configurada para eliminarla allí, como lo están las cuentas POP nuevas en la versión actual de Thunderbird (Until I delete them, hasta que los elimine). Aun así, el servidor puede eliminar el correo antiguo según su propia política.

¿Puedo borrar correo del servidor y conservar una copia en mi ordenador?

Sí: primero muévelo a un buzón guardado en el ordenador. En Mail en el Mac, elige “Mailbox” (Buzón) > “New Mailbox” (Nuevo buzón) y, en “Location” (Ubicación), elige “On My Mac” (En mi Mac); Apple dice que esos buzones son locales de ese Mac. Las “Local Folders” (Carpetas locales) de Thunderbird funcionan igual. Una vez borrada la copia del servidor, ese ordenador guarda la única que queda, así que haz una copia de seguridad.

¿Eliminar una cuenta de una app borra mi correo?

No con IMAP. La guía de Mail para Mac de Apple dice que los mensajes de la cuenta se eliminan de tu Mac, mientras que “las copias de los mensajes permanecen en el servidor de correo de la cuenta”. Con POP, haz antes una copia de seguridad: al eliminar la cuenta se borran de tu Mac los mensajes descargados, y solo se conserva lo que aún tenga el servidor.