Baja con un clic: cabeceras, reglas y un generador

Baja con un clic

Baja con un clic: cabeceras RFC 8058 y reglas de Gmail | We.Inc

Añade la baja con un clic a tus emails de marketing: las dos cabeceras de RFC 8058, lo que Gmail y Yahoo piden a los remitentes masivos, lo básico de CAN-SPAM y un generador de cabeceras.

La baja con un clic permite a alguien salir de tu lista con el propio botón Cancelar suscripción de la bandeja de entrada, sin iniciar sesión ni rellenar formularios. Añades dos cabeceras de RFC 8058: List-Unsubscribe con un enlace HTTPS, y List-Unsubscribe-Post con el valor List-Unsubscribe=One-Click. Gmail y Yahoo la exigen en el correo de marketing de los remitentes masivos.

Quién pide qué (páginas oficiales, a octubre de 2026)

Fuente
Regla de baja

Gmail
Baja con un clic en el correo de marketing para remitentes de más de 5,000 al día; enlace visible en el cuerpo; tramitar las solicitudes en 48 horas (recomendado)

Yahoo
Cabecera list-unsubscribe operativa con un clic (RFC 8058); aplicar las bajas en 2 días

CAN-SPAM (EE. UU.)
Forma clara de darse de baja; aplicarla en 10 días hábiles; el mecanismo funciona al menos 30 días después del envío

Correo transaccional
Gmail: la baja con un clic no es obligatoria en los mensajes transaccionales

La mayoría de los servicios de email añaden estas cabeceras por ti cuando activas la gestión de listas, así que mira ahí primero. Si envías desde tu propia aplicación o servidor, el generador de abajo escribe las dos líneas de cabecera, y los ejemplos muestran el pequeño endpoint que tiene que responder a la petición de la bandeja de entrada.

Crea una dirección HTTPS de baja única por destinatario, con un token difícil de adivinar.
Pon esa dirección en List-Unsubscribe entre corchetes angulares, seguida opcionalmente de una dirección mailto.
Añade List-Unsubscribe-Post: List-Unsubscribe=One-Click.
Firma el mensaje con DKIM e incluye ambas cabeceras en la firma, como exige RFC 8058.
Cuando la bandeja de entrada envíe un POST a tu dirección, elimina al suscriptor y responde con un estado de éxito, no con una redirección.

Mantén también el enlace de baja visible en el cuerpo del email. Gmail pide ambos.
Nunca exijas iniciar sesión ni contraseña en la dirección de baja con un clic. El POST de la bandeja de entrada no lleva cookies.
No respondas al POST con una redirección; RFC 8058 dice que los POST redirigidos han fallado históricamente.
Un GET a la misma dirección puede venir de un escáner de enlaces, así que muestra una página de confirmación para GET y da de baja solo con POST.
Esta página explica normas publicadas; no es asesoramiento legal. Consulta las leyes del lugar donde viven tus suscriptores.

Preguntas frecuentes

¿Necesito la baja con un clic si envío pocos emails?

El requisito de Gmail se aplica a los remitentes de unos 5,000 mensajes o más al día a cuentas de Gmail. Los remitentes más pequeños siguen necesitando una opción de baja que funcione según leyes como CAN-SPAM, y añadir las cabeceras es buena práctica de todos modos.

¿Las confirmaciones de pedido necesitan una cabecera de baja?

Gmail dice que la baja con un clic solo es obligatoria para los mensajes de marketing y promocionales, y que los mensajes transaccionales quedan excluidos. La guía de la FTC también considera que el email puramente transaccional está en gran parte exento de CAN-SPAM.

¿Puede List-Unsubscribe usar solo una dirección mailto?

No para la baja con un clic. RFC 8058 necesita al menos una dirección HTTPS en la cabecera. Una dirección mailto puede ir al lado como alternativa para aplicaciones de correo antiguas.

¿Con qué rapidez debo tramitar una baja?

A octubre de 2026, Gmail recomienda hacerlo en 48 horas y Yahoo pide hacerlo en 2 días. La ley CAN-SPAM de EE. UU. fija un máximo legal de 10 días hábiles.

¿CAN-SPAM exige que la gente se suscriba primero?

No. La guía de la FTC dice que la ley no exige consentimiento previo, pero sí cabeceras y asuntos honestos, identificar el mensaje como publicidad, tu dirección postal física y una opción de baja que respetes.

Qué pasa cuando alguien hace clic

La aplicación de correo lee tu cabecera List-Unsubscribe y envía un POST HTTPS a esa dirección. El cuerpo de la petición es el valor de List-Unsubscribe-Post, codificado como formulario, así que tu endpoint recibe List-Unsubscribe=One-Click.
Tu servidor encuentra al suscriptor por el token de la dirección y lo elimina. No se envía nada más: ni cookies, ni inicio de sesión, ni páginas extra.

CAN-SPAM en cinco líneas

La guía de cumplimiento de la FTC enumera las obligaciones básicas del email comercial: datos de From, To y enrutamiento veraces, un asunto que coincida con el contenido, una indicación clara de que el mensaje es publicidad, una dirección postal física válida y una forma fácil de darse de baja.
Cada email que incumple las normas puede costar hasta $53,088 según la guía de la FTC a octubre de 2026, así que una baja que funcione es un seguro barato.

El endpoint que responde al clic

Un gestor mínimo en JavaScript estándar (los objetos Request y Response que usan la mayoría de los hostings modernos). Da de baja con POST y pide confirmación con GET.

Gestor de bajas

Sustituye removeSubscriber por tu propia llamada a la base de datos. El token es la parte difícil de adivinar de la dirección.

Generador de cabeceras

Dirección HTTPS de baja (con el token del suscriptor)

Dirección mailto opcional

Cabeceras que debes añadir

La primera dirección debe empezar por https:// para que funcione la baja con un clic.