¿Es suficiente el filtro antispam de Google Workspace para una empresa?

Google Workspace incluye un filtro antispam competente para cada usuario, y no tienes que configurar nada para que funcione. Que sea suficiente depende menos de la detección de Gmail que de tu edición, de unos pocos ajustes de administración y de algunas necesidades operativas para las que Gmail no se diseñó. Esta guía da primero la respuesta honesta y después las comprobaciones que lo deciden para tu empresa.

¿Es el filtro antispam de Gmail suficiente para una empresa?

Para la mayoría de las empresas que usan una sola plataforma, el filtro integrado de Gmail es suficiente. Google afirma que "más del 99,9 % del spam, los intentos de phishing y el malware se bloquean automáticamente en Gmail" (Google Workspace). Es una cifra de marketing de la propia Google, publicada en su página de seguridad de Workspace, no una prueba independiente.

Lo que queda sigue importando, porque los mensajes con más probabilidades de colarse son los dirigidos: una factura falsa desde un dominio similar o un mensaje desde la cuenta comprometida de un proveedor real. Ningún filtro los detecta todos. Así que la pregunta útil no es "¿Gmail es bueno?", sino "¿hemos activado lo que pagamos y tenemos carencias que Gmail no cubre?".

¿Qué incluye Google Workspace en seguridad del correo?

Todos los usuarios de Google Workspace tienen el filtrado de spam, phishing y malware de Gmail. Los administradores disponen de controles adicionales y algunas ediciones incluyen el análisis de adjuntos en un entorno aislado.

Los detalles por edición proceden de la página de Security Sandbox de Google en el momento de escribir esto (octubre de 2026). Business Starter no figura en esa lista. Google también indica que el análisis en el entorno aislado puede "retrasar la entrega del mensaje hasta 3 minutos". Para una comparación función por función con Microsoft, consulta seguridad del correo en Google Workspace frente a Microsoft 365.

¿Qué ajustes de Gmail deberías activar primero?

Los ajustes de Gmail más importantes están en Apps > Google Workspace > Gmail > Safety (Aplicaciones > Google Workspace > Gmail > Seguridad) en la consola de administración. Google los agrupa en tres áreas (ayuda para administradores de Google):

• Adjuntos: adjuntos cifrados y adjuntos con scripts de remitentes que no son de confianza, y tipos de adjuntos anómalos.
• Enlaces e imágenes externas: enlaces ocultos tras URL acortadas, análisis de imágenes enlazadas y una advertencia cuando los usuarios hacen clic en enlaces a dominios que no son de confianza.
• Suplantación y autenticación: suplantación con dominios similares, suplantación de nombres de empleados, correo entrante que suplanta tu propio dominio, correo no autenticado y suplantación de Grupos de Google.

Pero hay un detalle importante. Para cada ajuste de adjuntos y de suplantación, Google ofrece tres acciones (mantener en la bandeja de entrada con una advertencia, mover a spam o enviar a cuarentena) y marca "Keep email in inbox and show warning" (mantener el correo en la bandeja de entrada y mostrar una advertencia) como predeterminada. Los ajustes de enlaces son simples casillas de activación. Un banner de advertencia es mejor que nada, pero los usuarios hacen clic aunque haya banners. Sigue este orden:

1. Activa todos los ajustes de seguridad para una unidad organizativa (OU) piloto, con la acción predeterminada de advertencia.
2. Marca "Apply future recommended settings automatically" (aplicar automáticamente la configuración recomendada futura) en cada grupo, para que las nuevas protecciones se activen a medida que Google las añada.
3. Al cabo de una semana, endurece la acción a Move email to spam (mover el correo a spam) o Quarantine (cuarentena) para la suplantación de tu propio dominio y para los adjuntos cifrados o con scripts de remitentes que no son de confianza.
4. Extiéndelo a todas las OU cuando los usuarios piloto no notifiquen problemas.
5. Revisa tus reglas de spam en Apps > Google Workspace > Gmail > Spam, Phishing and Malware (Spam, phishing y software malicioso) y elimina las entradas de omisión amplias.

Nuestras guías sobre los ajustes de spam de Gmail y la protección avanzada contra phishing y malware explican cada opción en detalle.

Vigila tus reglas de omisión

Los ajustes de spam personalizados de Google incluyen "Bypass spam filters and hide warnings for all messages from internal and external senders" (omitir los filtros de spam y ocultar las advertencias en todos los mensajes de remitentes internos y externos). Google indica que no lo recomienda "porque aumenta la posibilidad" de que los usuarios reciban spam y phishing (ayuda para administradores de Google). Las listas de remitentes aprobados son más seguras, y Google señala que sigue bloqueando los mensajes con virus. Aun así, una omisión para todo el dominio de un proveedor también deja pasar a cualquiera que suplante a ese proveedor.

¿En qué se queda corto el filtro antispam de Google Workspace?

Las carencias de Google Workspace son decisiones de diseño, no fallos de detección. A algunas organizaciones les importan y a otras no les afectan en absoluto.

• La cuarentena de administrador es silenciosa. Google indica que "los destinatarios nunca reciben una notificación cuando un mensaje se pone en cuarentena" y que, de forma predeterminada, solo los administradores pueden revisarla (ayuda para administradores de Google). Los mensajes en cuarentena se conservan "hasta 30 días después del envío". Si usas la cuarentena de forma agresiva, alguien tiene que revisarla o las facturas reales desaparecerán sin hacer ruido. Consulta la cuarentena de administrador de Google Workspace.
• La carpeta Spam es por usuario. Los usuarios tienen que acordarse de mirarla. Muchos no lo hacen, y los falsos positivos se quedan allí sin que nadie los vea.
• Solo cubre los buzones de Google. Los dominios en Microsoft 365, cPanel o Exchange tienen cada uno su propio filtro y su propia consola.
• Las caídas las gestiona el remitente. Si el correo no puede llegar a tu dominio, la entrega depende de que cada servidor remitente lo reintente. El RFC 5321 indica que los remitentes deberían desistir tras "al menos 4-5 días" (RFC 5321), pero tú no controlas su configuración.
• Las licencias son por usuario. Cada bandeja compartida que necesita un buzón completo necesita una licencia.

¿Cómo compruebas por qué Gmail filtró un mensaje?

Abre el mensaje, elige Show original (Mostrar original) y lee los resultados de autenticación. Un encabezado típico tiene este aspecto (solo valores de ejemplo):

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=s1;
       spf=pass (google.com: domain of billing@example.com designates 203.0.113.10 as permitted sender) smtp.mailfrom=billing@example.com;
       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=example.com

Pega el encabezado completo en el Email Header Analyzer (analizador de encabezados de correo) para ver cada salto. Un remitente legítimo que no supera SPF, DKIM o DMARC tiene que corregir sus propios registros; una regla de permiso solo oculta el problema.

¿Cómo sabes si el filtrado de Gmail te está funcionando?

El filtrado de Gmail te funciona cuando los usuarios rara vez ven correo basura, rara vez pierden correo real y notifican lo que se cuela. Tres comprobaciones rápidas:

• Pregunta a los usuarios si en el último mes han encontrado facturas reales o correo de clientes en Spam. Si es así, averigua por qué antes de endurecer nada.
• Busca un mensaje que falta en la búsqueda de registros de correo de la consola de administración para ver si llegó, fue a spam o se puso en cuarentena. Consulta la búsqueda de registros de correo de Google Workspace.
• Comprueba la autenticación de tu propio dominio con el DMARC Checker (verificador de DMARC). La suplantación de tu dominio es mucho más fácil de detectar cuando publicas DMARC con una política restrictiva (quarantine o reject).

¿Cuándo deberías añadir una pasarela delante de Google Workspace?

Añade una pasarela delante de Google Workspace cuando las carencias anteriores te cuesten tiempo o dinero, no porque Gmail sea débil. Una pasarela es un filtro de entrada al que apuntan tus registros MX; filtra el correo y reenvía los mensajes limpios a Gmail.

Con iBlockSpam, cada usuario tiene una cuarentena personal y resúmenes (cada hora, a diario, un día de la semana elegido o personalizados), el correo se retiene en cola hasta 5 días si falla la entrega, y el precio es por dominio con buzones ilimitados (se refiere al número de buzones, no a un volumen de mensajes ilimitado). La comparativa entre la protección integrada de Google Workspace y una pasarela expone ambas opciones.

Una pasarela no sustituye a Gmail. El filtrado propio de Google sigue funcionando detrás, y eso es lo que quieres.

¿Qué cambia en Gmail cuando se añade una pasarela?

Añadir una pasarela cambia la ruta, no el buzón. Los usuarios conservan su bandeja de entrada, sus etiquetas y su carpeta Spam. En la consola de administración configuras el ajuste Inbound gateway (puerta de enlace de entrada) en Spam, Phishing and Malware (ayuda para administradores de Google):

1. Enumera las IP de la pasarela que entregan en Gmail. No se admiten direcciones IP privadas.
2. Activa "Automatically detect external IP" (detectar automáticamente la IP externa) para que Gmail evalúe al remitente real y no a la pasarela.
3. Deja activada la evaluación de spam de Gmail. La opción "Disable Gmail spam evaluation on mail from this gateway; only use header value" (desactivar la evaluación de spam de Gmail en el correo de esta pasarela y usar solo el valor del encabezado) elimina una capa.
4. Activa "Reject all mail not from gateway IPs" (rechazar todo el correo que no proceda de las IP de la pasarela) una vez verificada la entrega, para que los atacantes no puedan saltarse tu MX. Consulta cómo bloquear la elusión por entrega directa.
5. Planifica los tiempos. Google indica que los cambios "pueden tardar hasta 24 horas, aunque normalmente se aplican antes".

Una contrapartida que conviene conocer: "Gmail no aplica la política DMARC del remitente a los mensajes que llegan desde la pasarela de entrada". Las comprobaciones antisuplantación de la pasarela asumen esa tarea. La guía completa está en configuración de la pasarela de entrada de Google Workspace. Si también usas Microsoft 365, lee ¿necesitas un filtro antispam con Microsoft 365?.

Próximos pasos

• Comprueba qué edición de Google Workspace tienes y si incluye Security Sandbox.
• Activa todos los ajustes de seguridad para una OU piloto y después endurece las acciones ante la suplantación y los adjuntos de riesgo.
• Elimina las reglas amplias de omisión de spam que no puedas justificar.
• Ejecuta el Email Health Check (revisión de salud del correo) gratuito para ver tus registros MX, SPF y DMARC.
• Si te importan los resúmenes de cuarentena, la retención en cola o las plataformas mixtas, mira cómo funciona iBlockSpam con Google Workspace.

Consulta nuestras otras guías sobre cómo elegir protección para el correo.