Google endurece las reglas de miembros externos en Groups

Si perteneces a una lista de correo de empresa, escolar o comunitaria en Google Groups, las reglas acaban de cambiar. El 24 de junio de 2026, Google empezó a desplegar clasificaciones interna y externa más estrictas para Google Groups — cerrando un resquicio de larga data que permitía a direcciones externas sentarse en grupos marcados como «solo internos». Anunciado en el blog Google Workspace Updates, es un endurecimiento de seguridad con consecuencias reales sobre quién puede unirse a tus listas y quién puede ver su correo. Esto es lo que cambia de verdad.

Qué cambió Google en Google Groups

Desde el 24 de junio de 2026, un grupo de Google cuya opción «Permitir miembros ajenos a tu organización» está desactivada ya no puede contener ningún miembro externo. Los grupos que hoy alojan una dirección externa se reclasifican automáticamente como externos, una nueva subopción decide si los usuarios o solo los administradores pueden añadir personas externas, y Google añade indicadores visuales más claros que muestran qué grupos contienen ajenos.

Hasta ahora el modelo tenía un hueco. Un grupo podía tener «Permitir miembros ajenos» desactivado — marcado como interno — y aun así contener direcciones externas añadidas directamente por un administrador, heredadas de un grupo externo anidado, o que quedaron al pasar un grupo de externo a interno. Según Google Workspace Updates, ese comportamiento «ya no será compatible». Interno significa ahora realmente interno.

Para no romper nada, Google no expulsa a nadie. Según la documentación oficial de administración, «si un grupo interno tiene miembros externos, ya sea añadidos directa o indirectamente mediante un grupo anidado, se clasificará como externo para preservar esas membresías externas existentes». Esos grupos reclasificados reciben una nueva subopción que permite restringir las altas externas solo a administradores. El cambio está disponible para todos los clientes de Google Workspace y se está desplegando ahora, con finalización prevista para el 1 de julio de 2026 en los dominios de versión rápida y programada.

Por qué los miembros externos en grupos «internos» eran un problema

Un grupo «solo interno» que alojaba en secreto una dirección externa era un riesgo silencioso de fuga de datos y de phishing: hilos internos sensibles podían llegar a alguien fuera de la organización, y un remitente externo podía mezclarse en una lista que todos creían reservada al personal. La corrección de Google añade indicadores visibles de miembros externos y cambia cómo se muestran los correos dentro de Groups para detectar antes a los ajenos.

Es el mismo problema de confianza que impulsa las etiquetas de remitente externo de Outlook hasta las reglas de bandeja y el trabajo más amplio de Google contra fraudes y estafas: no puedes defenderte de un remitente que no puedes identificar. Una lista etiquetada como «interna» que reenvía en secreto a una cuenta de Gmail externa es exactamente cómo se filtran los hilos confidenciales — y cómo un mensaje de phishing convincente puede aterrizar en un canal de confianza. La especificación de febrero de 2026 también endureció las API: cualquier intento de añadir un miembro externo a un grupo interno mediante la API Admin SDK Directory se rechaza ahora de plano, para que el resquicio no pueda reabrirse con un script. La aplicación alcanza a Gmail, Chat, Calendar, la consola de administración y la API Groups Settings — allá donde se lea o escriba la membresía de un grupo.

Qué significa si estás en una lista de Workspace

Si usas Gmail solo para tu correo personal, nada cambia. Si perteneces a un grupo de Workspace, conservas tu acceso — Google confirma que no se elimina a ningún miembro en la transición — pero espera que tu lista sea reetiquetada como interna o externa, y no te sorprendas si ya no puedes añadir tú mismo colaboradores externos. Ese poder puede recaer ahora en tu administrador.

Administro listas de correo comunitarias en Google Groups desde hace años, y el comportamiento antiguo — un grupo «interno» que albergaba en silencio una dirección externa — es justo el tipo de cosa que nunca notas hasta que una auditoría de seguridad la saca a la luz. Así que la limpieza es bienvenida, aunque el despliegue generará una oleada de tickets de «¿por qué ya no puedo añadir a esta persona?» para los administradores. La conclusión práctica: los usuarios normales no tienen que hacer nada, pero si eras la persona no oficial que añadía socios externos a una lista de equipo, comprueba si eso sigue permitido antes de prometerle acceso a alguien. Google dice que los administradores deben «revisar y ajustar estas etiquetas directamente en la consola de administración o mediante la API Groups Settings» — así que si una lista de la que dependes se comporta distinto tras el 1 de julio, ahí está la respuesta. Para el panorama general de cómo la suplantación y el fraude de identidad cruzan estas fronteras, nuestro análisis de la vulnerabilidad «ghost sender» de Exchange muestra por qué los controles de identidad a nivel de proveedor importan más cada mes.

Alexis Dollé

Fundador y editor

Alexis Dollé, experto en email desde hace más de 10 años. Fundador de Email Tools. Pruebo yo mismo cada cliente y utilidad de correo, y luego escribo sobre ellos como se lo explicaría a un amigo — sin palabrería de marketing, sin rankings patrocinados, cada afirmación con su fuente.

Preguntas frecuentes

¿Qué cambia con los miembros externos de Google Groups? — los grupos internos ya no pueden tenerlos

Desde el 24 de junio de 2026, Google aplica clasificaciones interna y externa más estrictas en Google Groups. Un grupo cuya opción «Permitir miembros ajenos a tu organización» está desactivada ya no puede contener ningún miembro externo. Todo grupo interno que hoy tenga una dirección externa se reclasifica automáticamente como externo para preservar los accesos existentes, y una nueva subopción controla si los usuarios — o solo los administradores — pueden añadir personas externas.

¿Voy a perder el acceso a una lista en la que estoy? — no, no se elimina a nadie

No. Google aclara que no se elimina a ningún miembro durante la transición. Si eres miembro externo de un grupo marcado como interno, el grupo se reclasifica como externo en lugar de expulsarte. Sigues recibiendo y enviando correo a esa lista.

¿Por qué hizo Google este cambio? — para cerrar un resquicio de fuga y phishing

Un grupo «solo interno» que contenía en secreto una dirección externa era un riesgo de fuga de datos y de phishing — hilos internos sensibles podían llegar a alguien fuera de la empresa sin que nadie lo notara. Google cierra ese resquicio y añade indicadores visuales más claros para que los administradores vean de un vistazo qué grupos contienen miembros externos.

¿Tengo que hacer algo como usuario normal? — no, el trabajo recae en los administradores

Nada. Google dice que no se requiere ninguna acción por parte del usuario. El trabajo recae en los administradores de Workspace, que deben revisar las nuevas etiquetas interno/externo en la consola de administración o mediante la API Groups Settings y decidir quién puede añadir miembros externos a cada grupo.

¿Cuándo termina el despliegue? — para el 1 de julio de 2026

Empezó el 24 de junio de 2026 para los dominios de versión rápida y programada, con finalización prevista para el 1 de julio de 2026. La aplicación subyacente se anunció en febrero de 2026, con una fecha de entrada en vigor no anterior al 15 de mayo de 2026.

¿Afecta a mi cuenta personal de Gmail? — no, solo a los grupos de Workspace

No directamente. Es un cambio de Google Workspace sobre cómo Google Groups (las listas de correo) clasifica a sus miembros. Si usas Gmail solo para tu correo personal y no perteneces a ningún grupo de Workspace, nada cambia para ti. Importa sobre todo si estás en listas de empresa, escolares o comunitarias alojadas en Google Groups.

Fuentes