SPF, DKIM y DMARC para Microsoft 365

Microsoft 365 necesita tres registros para autenticar el correo que envía por tu dominio: SPF, para que los receptores sepan que los servidores de Microsoft pueden enviar en tu nombre; DKIM, para que cada mensaje lleve tu firma; y DMARC, para vincularlos con tu dirección De: (From:). Desde el 5 de mayo de 2025, Outlook.com rechaza el correo de los dominios que envían más de 5000 mensajes al día a sus buzones de consumidores (outlook.com, hotmail.com, live.com) si no superan SPF, DKIM y DMARC, con el error 550 5.7.515 (Microsoft, abril de 2025; consulta Fuentes más abajo).

1. SPF

Publica un solo registro TXT de SPF en la raíz de tu dominio que incluya a Microsoft. Si otros servicios también envían correo con tu dominio (un CRM, una herramienta de boletines), agrega sus include al mismo registro; nunca publiques dos registros SPF.

TXT @

v=spf1 include:spf.protection.outlook.com -all

Usa ~all mientras sigues descubriendo remitentes.

2. DKIM

En el portal de Microsoft Defender, abre Correo electrónico y colaboración → Directivas y reglas → Directivas de amenazas → Configuración de autenticación de correo → DKIM (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM), selecciona tu dominio y copia los dos registros CNAME que muestra.

Publica ambos CNAME exactamente como se muestran (los destinos son específicos de tu tenant), espera a que se propague el DNS y luego activa la firma en la misma pantalla.

CNAME selector1._domainkey

(target shown in Defender for selector1)

Solo un ejemplo: selector1-contoso-com._domainkey.contoso.onmicrosoft.com. Los formatos varían según el tenant, así que copia los valores reales desde el centro de administración.

CNAME selector2._domainkey

(target shown in Defender for selector2)

Solo un ejemplo: selector2-contoso-com._domainkey.contoso.onmicrosoft.com. Los formatos varían según el tenant, así que copia los valores reales desde el centro de administración.

3. DMARC

Empieza en modo de monitoreo con una dirección para los informes, revísalos hasta que todos los remitentes legítimos superen SPF o DKIM alineado, y luego pasa a quarantine y por último a reject.

TXT _dmarc

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Las cuentas de ProbeKit reciben una dirección rua alojada con paneles.

MX y autodiscover

Microsoft 365 muestra los valores exactos de MX y autodiscover de tu dominio en el centro de administración, en Configuración → Dominios (Settings → Domains). Cópialos de ahí y no de una guía.

MX @

(value shown in the admin center, priority 0)

Solo un ejemplo: contoso-com.mail.protection.outlook.com. Los formatos varían según el tenant, así que copia los valores reales desde el centro de administración.

Revisa tu instalación

Fuentes

Outlook.com exige SPF, DKIM y DMARC a los dominios que envían más de 5000 mensajes al día a sus buzones de consumidores; se aplica desde el 5 de mayo de 2025 rechazando el correo con 550 5.7.515. Microsoft Community Hub, blog de Outlook: “Strengthening Email Ecosystem: Outlook’s New Requirements for High-Volume Senders” — publicado el 2 de abril de 2025, actualizado antes de que empezara la aplicación el 5 de mayo de 2025; verificado el 14 de octubre de 2026.

Otro proveedor: SPF, DKIM y DMARC para Google Workspace