Escribe tu dirección de correo en un buscador, entre comillas. Si aparece en un mensaje de foro de hace años, en un currículum antiguo, en la lista de socios de un club o en la página de contacto de un proyecto personal, casi seguro que también la han recogido scrapers automáticos. Estos programas recorren la web buscando todo lo que tenga forma de nombre@dominio, y las listas que construyen se venden, se intercambian y reciben correos durante años.
La respuesta corta sobre cómo ocultar tu correo de los bots de spam: publica tu dirección principal lo menos posible, pon un formulario de contacto delante de cualquier dirección en tu propia web, da a los sitios públicos una dirección que puedas filtrar o sustituir y usa un buzón temporal para los registros de una sola vez. Nada de esto hace invisible una dirección. Si una persona puede leerla, un programa decidido normalmente también. Lo que consiguen estos pasos es reducir el número de listas en las que acaba tu dirección y limitar el daño a una dirección que puedes permitirte perder.
Cómo encuentran direcciones los scrapers y los bots de spam
La mayor parte de la recolección es barata y automática. Un bot descarga páginas, busca el patrón de la @ seguida de un dominio y guarda todo lo que coincide. Otras direcciones salen de fuentes que no necesitan rastrear nada. Saber qué fuente te expuso te dice qué solución va a servir.
| Fuente | Cómo llega ahí la dirección | Qué puedes hacer |
|---|---|---|
| Tu propio sitio web | Un enlace mailto: o una dirección en el pie de página o en la página de contacto | Usar un formulario de contacto o una dirección genérica que puedas filtrar |
| Foros, comentarios y reseñas | Firmas, respuestas tipo «escríbeme a», campos públicos del perfil | Editar mensajes antiguos, ocultar el campo del perfil, usar otra dirección |
| Registros de dominios | Datos de contacto en WHOIS o RDAP de un dominio que es tuyo | Revisar la opción de privacidad de tu registrador |
| Perfiles públicos y código | Biografías en redes sociales, páginas de autor, metadatos de commits de Git | Quitar la dirección, usar una dirección no-reply para los commits |
| Documentos | PDF, currículums, presentaciones y hojas de cálculo publicados en internet | Quitar o sustituir los archivos que controlas |
| Filtraciones de datos | Un servicio que usaste perdió su base de datos de usuarios | No puedes evitarlo, así que limita qué dirección recibe cada servicio |
| Adivinación | Nombres comunes como info@ o ana@ probados en dominios conocidos | Filtrar y, en tu propio dominio, rechazar destinatarios desconocidos |
Los registros de dominios merecen una aclaración, porque mucha gente cree que siguen siendo totalmente públicos. Desde que el RGPD entró en vigor en 2018, la mayoría de los grandes registradores ocultan los datos de contacto personales en las consultas WHOIS públicas, y muchos ofrecen un servicio de privacidad gratuito. Aun así, las reglas cambian según el registrador y el dominio de país, y las organizaciones suelen mostrarse completas. Consulta tu propio dominio una vez para ver qué aparece realmente.
Las filtraciones son la fuente que más se subestima. Puedes tener cuidado en todas partes y aun así acabar en listas de spam porque hackearon una tienda, un foro o una app que usaste hace años. Por eso los consejos de más abajo no se centran solo en dónde publicas tu dirección, sino también en qué dirección entregas.
Cómo proteger una dirección en tu propio sitio web
Si tienes una web, un blog o una tienda online, la página de contacto es el lugar donde es más probable que los bots te encuentren. Aquí tienes más control que en ningún otro sitio, así que vale la pena hacerlo bien.
Usa un formulario de contacto en lugar de un enlace mailto
Un formulario envía el mensaje desde tu servidor, de modo que la dirección de destino nunca aparece en la página. Valida los datos en el servidor, no solo en el navegador, y envía el mensaje a una dirección que no esté publicada en ningún lado. Los formularios atraen su propio spam, de eso se ocupan las siguientes secciones, pero quien envía spam por un formulario no puede añadir tu dirección a una lista que luego se revende.
Ofuscación: lo que frena de verdad cada truco
Si necesitas mostrar una dirección, hay formas de ponérselo más difícil a los recolectores. Su utilidad varía mucho, y todas tienen un coste para los visitantes reales.
| Método | Frena | No frena | Coste |
|---|---|---|---|
| Escribir «nombre arroba dominio punto com» | Los bots más simples que buscan patrones | Scrapers que buscan las formas habituales de escribir «arroba» y «punto» | Los visitantes tienen que reescribir la dirección |
| Entidades de caracteres HTML | Bots que leen el código fuente sin decodificarlo | Cualquier analizador que decodifique HTML, y casi todos lo hacen | Prácticamente ninguno |
| Montar la dirección con JavaScript | Rastreadores que no ejecutan scripts | Navegadores sin interfaz que muestran la página como lo haría una persona | No funciona para visitantes con los scripts bloqueados |
| Mostrar la dirección como imagen | Scrapers basados en texto | El reconocimiento de texto, que es barato y preciso | Los lectores de pantalla no pueden leerla y nadie puede copiarla |
| La función de ofuscación de una CDN | Muchos scrapers comunes, sin trabajo por tu parte | Bots que ejecutan el script de decodificación | Depende del script del proveedor |
El resumen honesto: la ofuscación elimina a los bots más perezosos, y gran parte de la recolección es perezosa, así que baja el volumen. No protege una dirección frente a alguien que apunte a tu web a propósito. Trata cualquier dirección que muestres como una que tarde o temprano acabará recogida, y elígela pensando en eso.
CAPTCHA, honeypots y límites de envío
Estas medidas protegen el formulario, no la dirección. Un CAPTCHA o un servicio de verificación bloquea muchos envíos automáticos, aunque algunos se cuelan y cada verificación molesta un poco a las personas reales. Un honeypot es un campo oculto que las personas nunca ven y los bots rellenan, así puedes descartar esos envíos sin hacer ruido. Limitar los envíos por dirección IP impide que una sola fuente mande cientos de mensajes en un minuto. Juntas, mantienen tu bandeja usable sin pedir mucho a los visitantes. Si tu formulario suscribe a la gente a una lista de correo, usa el doble opt-in para que nadie pueda apuntar la dirección de un desconocido.
Mantén tu dirección principal fuera de las páginas públicas
Tu dirección principal es la vinculada a tu banco, a los trámites oficiales, a tu trabajo y a la gente que conoces. La mejor protección para ella es sencilla: no debería aparecer en ningún sitio al que llegue un rastreador. Revisa una vez los lugares habituales:
- Perfiles sociales y profesionales. Quita la dirección de las biografías y, cuando la plataforma lo permita, deja el campo de contacto visible solo para tus contactos.
- Foros y cuentas antiguas. Edita firmas y mensajes viejos que la incluyan. Cierra las cuentas que ya no usas.
- Repositorios de código. GitHub y plataformas parecidas permiten usar una dirección no-reply privada para los commits. Los commits nuevos dejan de mostrar la real, pero los antiguos conservan lo que registraron.
- Documentos. Un currículum o un folleto publicado en PDF es texto plano para un rastreador. Sustituye los archivos que controlas por versiones con un formulario de contacto o una dirección aparte.
- Directorios y listas de socios. Pide a clubes, centros educativos y asociaciones que quiten la dirección o que limiten la lista a los socios.
Quitar una dirección no la borra de las listas que ya existen, y las cachés de los buscadores y los archivos web pueden guardar copias durante un tiempo. Lo que sí hace es impedir que nuevos scrapers la recojan, y eso cuenta con el tiempo.
Da una dirección aparte a los sitios públicos
Algunas direcciones tienen que ser públicas: la de contacto de un autónomo, la de soporte de una tienda, la que aparece en un folleto. La solución es que esa dirección sea distinta de la privada. Una dirección genérica como contact@yourdomain.example, o un segundo buzón en un proveedor gratuito, se puede filtrar a fondo y sustituir si se descontrola, sin tocar tu banco ni a tus amigos.
Para los registros, un alias de correo va más allá. Los servicios de alias te dan una dirección de reenvío distinta para cada web, así el sitio nunca ve la tuya real y puedes desactivar cualquier alias que empiece a recibir basura. Algunos ejemplos son Ocultar mi correo electrónico de Apple para suscriptores de iCloud+, Firefox Relay, SimpleLogin y DuckDuckGo Email Protection. Las direcciones con signo más, como yourname+tienda@gmail.com, sirven para rastrear de dónde viene el spam, pero no ocultan nada, porque cualquiera puede borrar la etiqueta. Comparamos estas opciones en nuestra guía sobre correo temporal frente a alias de correo, y nuestro artículo sobre cómo crear una estrategia personal de correo explica cómo repartir direcciones según el nivel de confianza.
| Opción | Oculta tu dirección real | Cuánto dura | Ideal para |
|---|---|---|---|
| Dirección principal | No | Años | Banco, trabajo, trámites oficiales, gente que conoces |
| Dirección con signo más | No | Lo mismo que tu buzón | Descubrir qué sitio la filtró o la vendió |
| Buzón secundario o dirección genérica | Sí, si nada la vincula contigo | Años | Datos de contacto públicos, tiendas en las que vuelves a comprar |
| Alias de correo | Sí | Hasta que lo desactives | Cuentas que mantienes pero en las que no confías del todo |
| Buzón temporal | Sí | Unas 24 horas | Registros y descargas de una sola vez |
Usa un buzón temporal para los registros de una sola vez
Buena parte del spam empieza con un único registro que nunca volviste a necesitar: una guía gratuita, un hilo de foro que querías leer una vez, un portal de Wi-Fi, una cuenta de prueba. Para estos casos, una dirección de correo temporal deja tu dirección real totalmente fuera de la base de datos del sitio. Si después hackean esa web o vende su lista, el spam va a una dirección que ya no existe.
VookMail funciona sin cuenta. Abre la web y ya tendrás una dirección lista. Cópiala con el botón Copiar, o pulsa Nuevo para elegir tu propio nombre de usuario y uno de más de 30 dominios. El buzón comprueba si hay correo cada pocos segundos, así que un enlace de confirmación aparece sin recargar. Cuando termines, Eliminar borra la dirección. Si no, los mensajes se eliminan en unas 24 horas. Si quieres saber en detalle cómo funciona este tipo de dirección de correo desechable, esa página lo explica.
Los límites forman parte de usarlo bien. Un buzón temporal solo se abre en el navegador que lo creó y sus mensajes no tienen cifrado de extremo a extremo, así que no es lugar para nada personal. No lo uses nunca para una cuenta que necesites conservar, porque los restablecimientos de contraseña no tendrían adónde llegar. Algunos sitios no aceptan direcciones desechables, es su decisión, y en ese caso lo adecuado es un alias o una dirección secundaria. Una dirección temporal no debe usarse para conseguir pruebas gratuitas repetidas ni ofertas pensadas para una sola persona, y nuestros términos y condiciones lo prohíben. Nuestra guía para registrarte sin tu correo real repasa qué situaciones encajan.
Comprueba si tu dirección ya está expuesta
Have I Been Pwned es un servicio gratuito con muchos años de trayectoria que te dice si una dirección aparece en datos de filtraciones conocidas. El resultado muestra qué servicios la perdieron y, a grandes rasgos, qué más se llevaron, como contraseñas o números de teléfono. Si había una contraseña, cámbiala en todos los sitios donde la usaste y activa la verificación en dos pasos. Nuestra guía sobre qué hacer tras una filtración de datos lo explica paso a paso.
Desconfía de las webs desconocidas del tipo «comprueba si tu correo se ha filtrado». Escribir tu dirección en un formulario que no conoces es otra forma de regalársela a una lista. Quédate con servicios con una larga trayectoria pública o con las alertas de filtraciones de tu gestor de contraseñas o de tu navegador.
Qué hacer si ya han recogido tu dirección
No hay forma de sacar una dirección de las listas que ya la tienen. Lo que sí puedes es hacer que esas listas sirvan de menos y evitar que se formen otras nuevas.
- No respondas ni hagas clic. Responder, aunque sea para pedir que paren, confirma que una persona real lee esa dirección. No pulses enlaces de correos de remitentes que no conoces.
- Marca el spam en lugar de borrarlo. Los reportes entrenan el filtro de tu proveedor, que ve la misma campaña en millones de buzones.
- Quita la dirección de los sitios donde la encontraste. Usa la búsqueda del principio de este artículo y corrige lo que controles.
- Sustituye la dirección pública de tu web por un formulario o por una nueva dirección genérica, y sigue filtrando la antigua durante un tiempo.
- Desactiva la carga automática de imágenes de remitentes desconocidos, para que los píxeles de seguimiento no confirmen que la dirección está activa. Nuestro artículo sobre píxeles de seguimiento en el correo explica cómo funcionan.
- Pasa los registros futuros a alias o direcciones temporales, para que tu dirección principal deje de circular.
- Cambia tu dirección principal solo como último recurso. Si lo haces, mantén la antigua con reenvío durante varios meses y traslada primero las cuentas importantes.
Para la parte del buzón, con filtros y bajas seguras, consulta nuestra guía sobre cómo dejar de recibir spam.
Mitos que conviene olvidar
- «Los bots de spam no pueden leer imágenes». El reconocimiento de texto es barato. Una imagen frena a los scrapers simples y complica la vida a quienes usan lectores de pantalla.
- «JavaScript oculta mi dirección por completo». Muchos scrapers ya ejecutan navegadores completos. Los scripts filtran a los bots antiguos, no a todos.
- «Si nunca publico mi dirección, nunca recibiré spam». Las filtraciones y la adivinación alcanzan direcciones que nunca se publicaron.
- «Darse de baja del spam te saca de la lista». Con remitentes legítimos suele funcionar. Con spammers de verdad, un clic puede confirmar que tu dirección está activa.
Preguntas frecuentes
¿Pueden los bots de spam leer una dirección mostrada como imagen?
Algunos sí. Las herramientas de reconocimiento de texto leen sin problema las imágenes nítidas y son baratas de usar. Una imagen frena a los scrapers de texto básicos, pero es inaccesible para los lectores de pantalla y no se puede copiar, así que un formulario de contacto suele ser mejor opción.
¿Sigue mereciendo la pena escribir «nombre arroba dominio punto com»?
Ayuda un poco contra los bots más simples y obliga a los visitantes a hacer algo más de esfuerzo. No debería ser tu única protección para una dirección que te importa.
¿La privacidad WHOIS detiene todo el spam a mi dominio?
No. Mantiene tus datos personales fuera de las consultas públicas de dominios, lo que elimina una fuente. Las direcciones genéricas como info@ siguen recibiendo spam por adivinación, y todo lo que haya en tu web se puede seguir recogiendo.
¿Un correo temporal protege mi dirección principal?
En los registros de una sola vez, sí, porque el sitio nunca recibe tu dirección principal. No ayuda con direcciones que ya están expuestas y no es adecuado para cuentas que necesitas conservar.
¿Puedo conseguir que borren mi dirección de las listas de spam?
De las listas que manejan los spammers, no. Los remitentes legítimos te quitan si te das de baja, y algunos intermediarios de datos ofrecen formularios de exclusión. Para el resto, reportar y filtrar son las herramientas realistas. Encontrarás más guías en el blog de VookMail.