Microsoft "550 5.7.509 ... does not pass DMARC verification and has a DMARC policy of reject": cómo solucionarlo

Qué significa

Tu dominio publica una política DMARC reject, que indica a los receptores: «Si un email que dice venir de nosotros falla DMARC, recházalo». Microsoft (Outlook.com y Microsoft 365) ha hecho exactamente eso. El rebote suele tener este aspecto:

550 5.7.509 Access denied, sending domain yourdomain.com does not pass
DMARC verification and has a DMARC policy of reject.

DMARC solo se supera si SPF o DKIM se superan y el dominio comprobado coincide con el dominio de la dirección From visible. Es lo que se llama alineación.

Por qué ocurre

• Un servicio de envío no está autenticado para tu dominio: una herramienta de newsletters, un CRM, una tienda o una web envía con tu dirección From, pero sin tu clave DKIM y desde servidores que no están en tu SPF.
• SPF se supera pero no está alineado: el servicio usa su propio dominio de rebote, así que SPF se supera para el dominio del servicio, no para el tuyo.
• DKIM firma con el dominio equivocado: el email se firma con el dominio por defecto del proveedor en lugar del tuyo.
• Reenvíos: un email reenviado por otro servidor puede romper SPF, y una lista de correo que modifica el contenido puede romper DKIM.
• Suplantación: otra persona envía emails falsos con tu dominio. En este caso, el rechazo es DMARC haciendo su trabajo.

Cómo comprobarlo

• Envía un email de prueba: en la página de inicio de Delivmail (/), copia tu dirección de prueba única y envíale un email normal desde el mismo servidor, herramienta o buzón que provocó el rebote. Abre el informe cuando esté listo.
• Lee la sección DMARC. Muestra si SPF y DKIM se superan y si cada uno está alineado con tu dominio From.
• Comprueba tus registros en /domain-scanner: un registro SPF, un registro DMARC y DKIM siempre que sea posible.
• Lee tus informes agregados DMARC para encontrar todos los servicios que envían en nombre de tu dominio. El panel de pago de Delivmail lee y resume estos informes por ti.

Cómo solucionarlo

1. Identifica el servicio que envió el email rechazado. Revisa el rebote y las cabeceras del mensaje original.
2. Configura DKIM con tu propio dominio en ese servicio. La mayoría de las herramientas te dan uno o varios registros DNS (TXT o CNAME) que publicar. DKIM es la forma más fiable de superar DMARC, porque resiste los reenvíos.
3. Añade el servicio a tu registro SPF si envía desde sus propios servidores, y configura un dominio de rebote personalizado (return-path) en tu dominio si el servicio lo ofrece.
4. Mantén un solo registro SPF y no superes las 10 consultas DNS.
5. Si no puedes corregirlo rápido, baja temporalmente tu política a p=quarantine o p=none mientras arreglas el servicio. Vuelve a reject cuando todos tus servicios lo superen.
6. Si los emails no son tuyos, no toques DMARC: p=reject está protegiendo tu dominio.

Comprueba que está solucionado

Espera a que los cambios DNS se propaguen (normalmente unos minutos, a veces unas horas). Envía un nuevo email desde el mismo servicio a una nueva dirección de prueba de Delivmail y comprueba que DMARC se supera con SPF o DKIM alineados. Después vuelve a enviarlo a la dirección de Microsoft que rebotó. Sigue vigilando tus informes DMARC por si otros servicios siguen fallando.