Cómo solucionar "550 5.7.515 Access denied" de Microsoft

Desde 2025, Microsoft 365 y Outlook.com exigen autenticación del remitente a quienes envían grandes volúmenes y, cada vez más, a todos los demás. El rebote se ve así:

550 5.7.515 Access denied, sending domain example.com does not
pass DMARC verification and has no DMARC record

A pesar de lo que dice el mensaje, la causa raíz rara vez es solo DMARC. Microsoft te está diciendo que tu dominio no superó toda la tríada de autenticación: un SPF que cubra al servidor de envío, una firma DKIM alineada con tu dominio De: (From:) y un registro DMARC que los una.

Por qué ocurre

El desencadenante más común es enviar a través de un proveedor (un CRM, una herramienta de boletines, un relay de impresora o escáner) que nunca se autorizó en tu DNS. Entonces SPF falla o no está alineado, no hay firma DKIM para tu dominio y, cuando DMARC no encuentra una validación alineada, Microsoft rechaza el mensaje de plano en lugar de enviarlo a la carpeta de spam.

Diagnostícalo

Pasa tu dominio por la verificación de cumplimiento de Microsoft de abajo. Evalúa exactamente los requisitos que Microsoft aplica (presencia y calidad de SPF, claves DKIM, registro DMARC, DNS inverso) y muestra qué elemento falla. Confirma también que el servicio de envío concreto figure en tu SPF (abre la herramienta de SPF y expande el árbol de include).

Corrígelo

1. Agrega el servicio de envío al SPF: su documentación indica el include, por ejemplo v=spf1 include:spf.protection.outlook.com include:_spf.yourcrm.com ~all (un solo registro, con menos de 10 consultas).

2. Activa la firma DKIM en cada servicio que envíe con tu dominio y publica los registros de selector que te den. Para el propio Microsoft 365, habilita DKIM en Defender → Autenticación de correo electrónico y agrega los dos CNAME selector1/selector2.

3. Publica DMARC empezando en modo de monitoreo: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain. Cuando los informes muestren validaciones alineadas, pasa a p=quarantine y luego a p=reject.

Vuelve a enviar una prueba después de que el DNS se propague (de minutos a una hora). Los rechazos 5.7.515 se detienen en cuanto existe una validación alineada.