Haces clic en «cancelar suscripción», la página dice «se ha dado de baja», y tres días después el mismo boletín vuelve a tu bandeja. Para volverse loco, pero no siempre significa que el enlace esté roto. Algunos enlaces de baja fallan por motivos técnicos banales, otros tienen permiso legal para seguir escribiéndote un tiempo, y otros son trampas deliberadas que empeoran las cosas. He probado decenas de bajas entre spam, boletines reales y envíos masivos, y aquí tienes exactamente por qué los enlaces para darse de baja no funcionan — y qué los soluciona de verdad.
El plazo legal de procesamiento
Un remitente legítimo no ha ignorado necesariamente tu baja. La CAN-SPAM Act de EE. UU. le da hasta 10 días hábiles para dejar de escribirte; en España, el RGPD exige una retirada del consentimiento atendida con rapidez. Uno o dos mensajes en esa ventana son normales y no significan que el enlace fallara.
Esta es la falsa alarma más común. Uno se da de baja, recibe otro correo a la mañana siguiente y supone que el botón es falso. A menudo funcionó: el remitente solo no ha terminado de procesarlo.
Según la guía de cumplimiento CAN-SPAM de la FTC, un remitente debe atender tu baja en 10 días hábiles, y el mecanismo de baja debe seguir funcionando al menos 30 días tras el envío. Tampoco puede cobrarte una tarifa ni exigirte nada más allá de tu dirección de correo. En España, la AEPD y el RGPD van en la misma línea: la retirada debe ser tan sencilla como el alta y atenderse sin demora injustificada. La regla que saqué de las pruebas: cuenta diez días hábiles. Si los correos paran, el enlace funcionó. Si siguen después, has pasado de «aún procesando» a «infracción», y eso cambia lo que toca hacer.
Ese plazo solo vale para remitentes que cumplen la ley. Los spammers y los remitentes fuera de la UE no lo hacen, y ese es el siguiente problema.
Enlaces rotos, caducados y con muro de login
Algunos enlaces de baja simplemente no funcionan: la URL ha caducado, apunta a una página muerta o movida, lanza un error de servidor, o está tras un login que la ley en realidad prohíbe. Los boletines antiguos y los remitentes pequeños son los peores.
Más allá del plazo legal, muchos enlaces de baja están sencillamente rotos. Por mis pruebas, los fallos habituales son:
- URL caducadas o con token. Muchos enlaces de baja llevan un token de un solo uso ligado a un envío concreto. Pulsa el enlace de un correo antiguo meses después y el token ha caducado: la página da error o no hace nada.
- Destinos muertos. El remitente cambió de plataforma, cerró un micrositio o dejó caducar un dominio, y la página de baja devuelve un 404.
- Retraso en el proveedor de envíos. La baja se registra, pero la plataforma procesa las eliminaciones por lotes: sigues en la lista uno o dos envíos aunque lo hiciste todo bien.
- Muros de login. El enlace te deja en una página de «inicia sesión para gestionar tus preferencias». Si nunca tuviste cuenta, estás atascado — y, como verás, eso no solo es molesto, va contra las reglas.
Nada de esto es malicioso: es dejadez. Pero explica por qué un boletín perfectamente real se niega a soltarte.
Cuando «cancelar suscripción» es una trampa
En el spam y el phishing, el enlace de «cancelar suscripción» suele ser un cebo. Hacer clic confirma al remitente que tu dirección está viva y vigilada, lo que te convierte en un objetivo más valioso — y algunas páginas falsas existen solo para robar tus credenciales o difundir malware.
Por eso el consejo de «date de baja de todo» es peligroso. Con la basura no solicitada, el enlace de baja hace lo contrario de lo que quieres.
Los investigadores de seguridad son tajantes. Como advierte la nota de la RSAC Conference sobre las bajas de correo, hacer clic para darte de baja de un spam confirma que tu dirección está activa — lo que para un spammer significa que merece la pena revenderla y atacarla más. Peor aún: un enlace falso puede dirigirte a un sitio de phishing disfrazado de formulario de «confirma tu baja» que captura tus credenciales, o disparar una descarga maliciosa. La señal que conviene memorizar: si una página de baja te pide iniciar sesión o introducir una contraseña para confirmar, no es una baja, es un ataque.
La regla segura es sencilla. Si reconoces al remitente como un boletín al que te suscribiste, darte de baja es seguro. Si no, no hagas clic en nada: márcalo como spam o denuncia phishing, lo que elimina el mensaje y entrena tu filtro.
Para los boletines legítimos pero tenaces, una herramienta como Leave Me Alone analiza tu bandeja, agrupa cada suscripción en un panel y envía la baja por ti — para que nunca tengas que pulsar a mano un enlace de pie de página sospechoso.
La baja en un clic (y por qué funciona mejor)
La baja en un clic, definida en la RFC 8058, permite a tu proveedor de correo darte de baja directamente mediante una cabecera, sin visitar el sitio del remitente. Desde febrero de 2024, Google y Yahoo la exigen a los grandes remitentes masivos — por eso el enlace «Cancelar suscripción» que Gmail muestra junto al remitente es mucho más fiable que uno de pie de página.
En realidad hay dos sistemas de baja en tu bandeja, y se comportan de forma opuesta.
El enlace de pie de página lo controla por completo el remitente: puede caducar, romperse u ocultarse tras un login. Pero Gmail, Yahoo y Apple Mail muestran a menudo su propio pequeño enlace «Cancelar suscripción» justo al lado del nombre del remitente, arriba del mensaje. Se apoya en el estándar List-Unsubscribe, cuya forma moderna y automatizada se define en la RFC 8058, «Signaling One-Click Functionality for List Email Headers», publicada en enero de 2017. Permite al proveedor disparar la baja por ti con una sola petición HTTPS — ninguna página que cargar, ningún token que caduque.
En 2024 el estándar cobró fuerza. Según las directrices de Google para remitentes, desde el 1 de febrero de 2024 todo remitente masivo que envíe más de 5.000 mensajes al día a Gmail debe admitir la baja en un clic y mostrar un enlace visible. Yahoo anunció la misma exigencia. Para un gran remitente, ese enlace a nivel de proveedor es el primero que debes usar: estandarizado, obligatorio e imposible de romper a escondidas por el remitente. Nuestra guía sobre la baja automática en Gmail muestra exactamente dónde encontrarlo.
Patrones oscuros que te hacen fracasar
Algunos remitentes hacen la baja deliberadamente penosa: muros de login, centros de preferencias de varios pasos, casillas de «mantenerme suscrito» premarcadas, o un laberinto de «¿estás seguro?». Varias de estas tácticas incumplen la CAN-SPAM, que prohíbe exigir más de una página o información más allá de la dirección de correo.
No toda baja fallida es un accidente. Una categoría de «patrones oscuros» está hecha para desgastarte hasta que te rindes:
- El laberinto del centro de preferencias. En vez de eliminarte, el enlace abre una página con treinta interruptores, todos en «activado», sin un único botón de «darme de baja de todo».
- El muro de login. «Inicia sesión para gestionar tus suscripciones» — cuando nunca tuviste cuenta.
- El chantaje emocional. Una pantalla de «te echaremos de menos / ¿estás seguro?» con el botón de confirmar atenuado u oculto.
- La reinscripción. Te das de baja de una lista, y el remitente te añade a una «nueva» una semana después.
Aquí está la palanca que casi nadie conoce: según la guía de la FTC, un remitente legítimo no puede exigir más que visitar una sola página o responder a un correo, y no puede pedir información más allá de tu dirección de correo. Un muro de login o un formulario de diez campos en una baja no solo es de mala educación: probablemente es ilegal. Cuando te topes con uno, sáltatelo y usa el enlace en un clic de tu proveedor o el botón de «Marcar como spam». Nuestra comparativa de la mejor forma de darse de baja en masa muestra cómo limpiarlos de golpe.
Qué hacer en su lugar
Adapta la solución a la causa: espera diez días hábiles con remitentes legítimos, usa la baja en un clic de tu proveedor con el correo masivo, denuncia o bloquea el spam en vez de hacer clic, y usa una herramienta de baja dedicada para los boletines con enlaces rotos o con muro de login.
Todo junto, el plan es corto:
- ¿Reconoces al remitente? Usa primero la baja en un clic «Cancelar suscripción» de Gmail o Yahoo junto al nombre — la vía estandarizada y difícil de romper. Luego espera diez días hábiles.
- ¿No lo reconoces? No hagas clic. Márcalo como spam o denuncia phishing. Hacer clic confirma que eres un objetivo real.
- ¿Enlace de pie de página roto o con muro de login? No pelees con él. Sortéalo con una herramienta que envíe la baja y filtre al remitente por ti.
- ¿Sigues recibiendo correos tras diez días hábiles? Ese remitente infringe la ley — bloquéalo y, a los reincidentes, denúncialos (la FTC en EE. UU., la AEPD en España).
Para la limpieza en bloque, mira nuestra guía para quitar los boletines de tu bandeja y nuestra comparativa de las mejores herramientas de baja de 2026. Y cuando aun así se cuele basura, saber cómo denunciar spam en Gmail hace más por tu bandeja a largo plazo que cualquier clic suelto de baja.
Veredicto
Un enlace de baja «que no funciona» suele ser una de cuatro cosas: el remitente está dentro de la ventana legal de 10 días, el enlace está técnicamente roto, es una trampa de spam que no hay que pulsar, o es un patrón oscuro diseñado para que te rindas. Diagnostica antes de seguir haciendo clic.
La verdad fastidiosa es que «la baja no funciona» rara vez es un solo problema. Un boletín real seguramente está solo en su ventana legal de procesamiento o tiene un enlace de pie de página roto. El spam es una trampa que no deberías tocar. Y un remitente manipulador apuesta a que te rendirás antes de terminar su laberinto.
La jugada ganadora es dejar de depender del enlace de pie de página como única herramienta. Usa la baja en un clic de tu proveedor donde exista, denuncia el spam en vez de darte de baja de él, y apóyate en un servicio dedicado para lo legítimo tenaz. Esa combinación vacía tu bandeja mucho más que un clic en «cancelar suscripción» cruzando los dedos.
Ideal para: quien se ahoga en boletines y quiere saber si esperar, hacer clic o denunciar. No merece la pena hacer clic si: no reconoces al remitente — denúncialo en su lugar.
Alexis Dollé, experto en email desde hace más de 10 años. Fundador de Email Tools. Pruebo yo mismo cada cliente de correo y cada utilidad, y luego escribo sobre ellos como se lo explicaría a un amigo — sin palabrería de marketing, sin rankings patrocinados, cada afirmación con su fuente.
LinkedInFuentes y referencias
- FTC, «CAN-SPAM Act: A Compliance Guide for Business». La baja debe atenderse en 10 días hábiles; el mecanismo debe funcionar al menos 30 días tras el envío; sin tarifa ni información más allá de la dirección de correo; no se puede exigir más que responder a un correo o visitar una sola página. Consultado el 2026-06-06. ftc.gov
- RFC 8058, «Signaling One-Click Functionality for List Email Headers» (enero de 2017). Define la cabecera List-Unsubscribe-Post y la baja en un clic que ejecuta el proveedor de correo mediante un HTTPS POST a la URI List-Unsubscribe. Consultado el 2026-06-06. rfc-editor.org/rfc/rfc8058
- Google, «Directrices para remitentes». Los remitentes masivos de más de 5.000 mensajes al día a Gmail deben admitir la baja en un clic (según la RFC 8058) e incluir un enlace de baja visible en el cuerpo del mensaje, en vigor desde el 1 de febrero de 2024; Yahoo anunció requisitos equivalentes. Consultado el 2026-06-06. support.google.com
- RSAC Conference, «Unsubscribe Safely: Navigating the Risks of Email Opt-Outs». Hacer clic para darse de baja de un spam no solicitado confirma una dirección activa y vigilada; los enlaces falsos llevan a páginas de phishing o al robo de credenciales; ante correo desconocido, denuncia o bloquea en vez de hacer clic. Consultado el 2026-06-06. rsaconference.com
Preguntas frecuentes
¿Por qué a veces no funciona un enlace para darse de baja?
Hay cuatro motivos habituales. Primero, el remitente legítimo dispone de un plazo para dejar de escribirte (hasta 10 días hábiles según la CAN-SPAM de EE. UU., sin demora según el RGPD), así que un mensaje justo después de la baja no significa que el enlace fallara. Segundo, el enlace está realmente roto: caducado, apuntando a una página muerta o tras un muro de login que la ley en realidad prohíbe. Tercero, el correo es spam o phishing y la «baja» es una trampa que confirma que tu dirección está activa en vez de eliminarte. Cuarto, el correo nunca tuvo un mecanismo de baja real. Saber en qué caso estás te dice si esperar, hacer clic o denunciar.
¿Es seguro hacer clic en «cancelar suscripción» en un spam?
Normalmente no. Los investigadores de seguridad advierten de que hacer clic en el enlace de baja de un spam no solicitado puede confirmar al remitente que tu dirección está activa y vigilada —lo que te convierte en un objetivo más valioso— y algunas páginas de baja falsas existen solo para robar credenciales o difundir malware. Si reconoces al remitente como un boletín al que te suscribiste, darte de baja suele ser seguro. Si no lo reconoces, márcalo como spam o denuncia el phishing en lugar de hacer clic.
¿Cuánto tiempo tiene legalmente una empresa para dejar de escribirme?
La CAN-SPAM Act de EE. UU. obliga a atender la baja en un plazo de 10 días hábiles, y el mecanismo debe seguir funcionando al menos 30 días tras el envío; el remitente no puede cobrar una tarifa ni exigir información más allá de tu dirección de correo. En España, el RGPD y la AEPD imponen que retirar el consentimiento sea tan sencillo como darlo y se atienda con rapidez. Unos pocos correos residuales la primera semana son tolerables; que te escriban semanas después no lo es.
¿Qué es la baja en un clic y por qué funciona mejor?
La baja en un clic es un estándar definido en la RFC 8058 (publicada en enero de 2017) que permite a tu proveedor de correo darte de baja directamente mediante una cabecera List-Unsubscribe, sin que visites el sitio del remitente. Desde febrero de 2024, Google y Yahoo la exigen a los remitentes masivos que envían más de 5.000 mensajes al día. Por eso el pequeño enlace «Cancelar suscripción» que Gmail muestra junto al remitente es más fiable que uno de pie de página: lo gestiona el proveedor, no una página que controla el remitente.
¿Por qué la página de baja me pide que inicie sesión?
Algunos remitentes esconden la baja tras un inicio de sesión o un centro de preferencias de varios pasos para desanimarte: es un patrón oscuro. Según la CAN-SPAM, un remitente legítimo no puede exigir más que responder a un correo o visitar una sola página, ni pedir información más allá de tu dirección; el RGPD impone la misma sencillez. Un muro de login en una página de baja es una señal de alarma: si es un boletín real, usa mejor la baja en un clic de tu proveedor; si te pide una contraseña que no debería necesitar, trátalo como phishing.
Me di de baja y sigo recibiendo correos. ¿Qué hago?
Espera primero diez días hábiles, la ventana legal de procesamiento. Si los correos siguen después, el remitente infringe la ley. Usa el botón «Marcar como spam» o «Bloquear remitente» de tu proveedor: detiene los mensajes y señala el abuso al proveedor. Para boletines tenaces, una herramienta de baja dedicada puede reenviar la solicitud y filtrar al remitente, y a los reincidentes puedes denunciarlos ante la AEPD.
Relacionado: las mejores herramientas de baja de 2026, la baja automática en Gmail y la mejor forma de darse de baja en masa.