Outlook.com está rebotando correos de dominios sin DMARC

Esta nos tocó de cerca esta semana: le pasó a una empresa con la que estábamos conversando. Y no son los únicos. Desde el 5 de noviembre, administradores de correo de todo el mundo reportan el mismo rebote, y la mayoría de los dominios afectados tenía SPF y DKIM funcionando. Lo que no tenían era DMARC.

Qué está pasando

El servicio de correo personal de Microsoft, el de las direcciones outlook.com, hotmail.com, live.com y msn.com, empezó a rechazar algunos mensajes de dominios que no publican un registro DMARC. Quien envía recibe un rebote así:

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

Tres detalles hacen que sea fácil pasarlo por alto:

• Es intermitente. Un mensaje rebota y el siguiente entra. Reenviar muchas veces funciona, así que la gente no le da importancia, y el próximo correo importante también rebota.
• No depende del volumen. Hay reportes de oficinas que envían un par de docenas de correos a la semana. La regla que Microsoft publicó en mayo de 2025 solo aplicaba a dominios con más de 5.000 mensajes diarios, y usaba otro código de error, el 5.7.515.
• El error puede mandarte a buscar donde no es. Si envías desde Microsoft 365, el rebote puede llegar envuelto en un mensaje «5.7.23 Sender Policy Framework violation». Eso lleva a revisar el SPF, que casi nunca es el problema.

Los buzones de empresa en Microsoft 365 no parecen estar rechazando de esta forma. Son las direcciones personales de Outlook y Hotmail, que es justo donde están muchos de los clientes de una pyme.

Qué ha dicho Microsoft

Casi nada. Al 9 de noviembre no había anuncio, ni nota en sus páginas de soporte para remitentes, ni aviso en el estado del servicio. Según varios reportes, moderadores del foro de soporte de Microsoft lo describieron como un problema en investigación.

Así que no sabemos si es una regla nueva que salió sin aviso o un filtro que se está portando mal. También hay reportes sueltos de rechazos a dominios que sí tienen DMARC, que nadie ha podido confirmar todavía. Si Microsoft lo explica, actualizamos este artículo.

Lo que sí sabemos es qué ha funcionado. Un especialista en entregabilidad quitó el DMARC de sus dominios de prueba y empezaron los rechazos. Quienes agregaron un registro DMARC vieron que se detuvieron. Coincide con lo que la industria viene pidiendo desde que Google y Yahoo hicieron obligatorio el DMARC para los envíos masivos en 2024.

Por qué tantas empresas en Microsoft 365 no tienen DMARC

Cuando conectas tu propio dominio a Microsoft 365, la configuración te da los registros que necesita para entregar tu correo. DMARC no está en esa lista. La documentación de Microsoft lo dice sin rodeos: «No hay portales de administración ni cmdlets de PowerShell en Microsoft 365 para administrar los registros TXT de DMARC de tus dominios personalizados». Lo tienes que crear tú, en el proveedor donde está tu DNS.

Si quien configuró tu correo no lo sabía, tu dominio lleva años sin DMARC, y hasta ahora nada se rompía a la vista.

Otra trampa: si miras los encabezados de un correo que enviaste y ves dmarc=bestguesspass, eso no significa que tengas DMARC. La documentación de Microsoft explica que quiere decir que no encontró registro DMARC y adivinó.

Qué hacer esta semana

1. Revisa si tu dominio tiene DMARC. Nuestra herramienta gratis de salud del correo revisa tu SPF, DKIM y DMARC de una vez y te dice qué falta.

2. Asegúrate de que SPF o DKIM estén alineados en cada servicio que envía a tu nombre. DMARC solo pasa cuando SPF o DKIM pasan con tu propio dominio. Eso incluye Microsoft 365 (activa la firma DKIM de tu dominio en el portal de Defender), y también tu sistema de facturación, tu herramienta de boletines, el formulario de contacto de tu página web y cualquier otra cosa que envíe con tu dirección en el remitente.

3. Publica un registro DMARC. En tu proveedor de DNS, agrega un registro TXT con el nombre _dmarc y un valor como este:

v=DMARC1; p=none; rua=mailto:[email protected]

p=none le pide a quien recibe que reporte, no que bloquee, así que no va a frenar ninguno de tus correos. La dirección de rua recibe informes diarios con todos los servicios que envían a nombre de tu dominio, incluidos los que olvidaste.

4. Reenvía lo que rebotó. Un error 550 es definitivo. Tu servidor no lo va a reintentar. Busca en tus enviados los rebotes desde el 5 de noviembre y vuelve a mandar esos mensajes.

5. No te quedes en el monitoreo. Un registro en p=none arregla el rebote, pero no impide que alguien mande facturas falsas a tu nombre. Cuando los informes muestren que todos tus remitentes legítimos pasan, la meta es p=quarantine y después p=reject. Nuestra guía de SPF, DKIM y DMARC lo explica paso a paso.

Lo de fondo

DMARC lleva una década como recomendación, y los grandes proveedores de correo han pasado de recomendarlo a exigirlo: Google y Yahoo para envíos masivos en 2024, Microsoft para envíos masivos en 2025, y ahora, al parecer, Microsoft para todos los demás, sin aviso. Resulte o no deliberado lo de esta semana, hacia allá va todo.

La autenticación del correo es de esas cosas que funcionan calladas hasta que un proveedor cambia una regla, y entonces tus clientes dejan de recibir tus cotizaciones y nadie sabe por qué. Si prefieres que alguien lo vigile, es parte de nuestro servicio de seguridad del correo. O conversa con nosotros y revisamos tu dominio contigo.

Fuentes (en inglés): Microsoft Learn, configurar DMARC en Microsoft 365, Microsoft, requisitos de Outlook para envíos masivos (2025), Windows Latest, MailRoute, Engagor.