Microsoft 365 "550 5.7.1 RESOLVER.RST.AuthRequired": cómo solucionarlo

Qué significa

Has enviado un email a una dirección alojada en Microsoft 365, normalmente un grupo (lista de distribución, grupo de Microsoft 365, dirección de un equipo de Teams), una carpeta pública habilitada para correo o un buzón restringido. Ese destinatario está configurado para aceptar mensajes solo de remitentes autenticados, es decir, personas que han iniciado sesión en la misma organización. Tú estás fuera, así que el mensaje se rechazó. Microsoft documenta este texto para las carpetas públicas:

Remote Server returned '<xxxxxxxx> #5.7.1 smtp;550 5.7.1 RESOLVER.RST.AuthRequired; authentication required [Stage: CreateMessage]'

RESOLVER.RST significa "restricción de destinatario". Los rebotes recientes suelen mostrar un código más concreto en lugar de 5.7.1:

• 5.7.133: remitente no autenticado para un grupo.
• 5.7.134: remitente no autenticado para un buzón.
• 5.7.13 o 5.7.135: remitente no autenticado para una carpeta pública.
• 5.7.136: remitente no autenticado para un usuario de correo.

La parte legible del mensaje suele decir que el grupo "solo acepta mensajes de personas de su organización o de su lista de remitentes permitidos".

Por qué ocurre

Es una configuración, no una decisión antispam. Tu SPF, tu DKIM y la reputación de tu IP no tienen nada que ver. Situaciones típicas:

• Una empresa crea sales@ o support@ como grupo de distribución o grupo de Microsoft 365. Por defecto, estos grupos solo aceptan remitentes internos, así que los emails de los clientes rebotan.
• La dirección de email de un equipo de Teams, o una carpeta pública usada como bandeja compartida, nunca se abrió a remitentes externos.
• Un administrador restringió un buzón a remitentes internos a propósito.
• Un formulario de contacto de una web envía a la dirección de un grupo a través de un servicio externo, que cuenta como remitente externo.

Si el rebote dice 5.7.124 Sender not in allowed-senders list, el grupo solo acepta una lista concreta de remitentes; la solución es añadir el remitente a esa lista.

Cómo comprobarlo

1. Lee el rebote: indica el destinatario restringido y, con los códigos 5.7.133 a 5.7.136, su tipo.
2. Si eres el remitente, comprueba que la dirección pertenece de verdad a la organización que buscas (mira su MX con el escáner de dominios de Delivmail), y luego contacta con ellos por otra vía y reenvíales el rebote.
3. Si eres el administrador, comprueba la configuración en Exchange Online PowerShell:

   Get-DistributionGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled,AcceptMessagesOnlyFromSendersOrMembers
   Get-UnifiedGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-MailPublicFolder support@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-Mailbox info@yourdomain.com | Format-List RequireSenderAuthenticationEnabled

   True significa que solo se aceptan remitentes internos y autenticados.

Cómo solucionarlo

Solo el administrador del destinatario (o el propietario del grupo) puede cambiarlo. Decide primero si las personas externas deben poder escribir a esa dirección: permitir a todo el mundo también permite que el spam y el phishing lleguen a todos los miembros del grupo.

Grupo de distribución

En el centro de administración de Exchange, abre Recipients > Groups, selecciona el grupo, luego Settings y marca la opción que permite a personas de fuera de la organización enviarle mensajes. O bien:

Set-DistributionGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

Grupo de Microsoft 365 o equipo de Teams

En el centro de administración de Microsoft 365, ve a Teams & groups > Active teams & groups, abre el grupo y, en su configuración, activa la opción que permite a personas de fuera de la organización enviar emails al equipo. O bien:

Set-UnifiedGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

Carpeta pública habilitada para correo

Pasos de Microsoft: centro de administración de Exchange, Public folders, edita la carpeta, Mail flow settings y, en Message Delivery Restrictions > Accept messages from, desmarca Require that all senders are authenticated y selecciona All senders. O bien:

Set-MailPublicFolder support@yourdomain.com -RequireSenderAuthenticationEnabled $false

Buzón

Set-Mailbox info@yourdomain.com -RequireSenderAuthenticationEnabled $false

Alternativas más seguras

• Para una dirección compartida como support@, usa un buzón compartido: acepta correo externo por defecto y guarda una sola copia en lugar de enviarla a cada miembro.
• Para abrir un grupo a un único socio, añade su dirección como contacto de correo y ponla en la lista de remitentes permitidos del grupo, en lugar de abrirlo a todo el mundo.
• Los grupos de más de 5.000 miembros tienen restricciones adicionales (moderación); Microsoft las documenta por separado.

Abrir un grupo a remitentes externos no impide que los filtros de Microsoft analicen esos mensajes. El correo de remitentes con una autenticación débil puede seguir yendo a correo no deseado, como se explica en los emails van a correo no deseado en Outlook.

Comprueba que está solucionado

• Los cambios pueden tardar un poco en replicarse. Después, envía una prueba desde un buzón externo (por ejemplo, una dirección personal) al grupo o a la carpeta.
• Si el remitente original sigue recibiendo un rebote, compara el código: un código distinto (por ejemplo 5.1.10 destinatario no encontrado) indica otro problema.
• Si eres el remitente y quieres asegurarte de que tu propia configuración está limpia, envía una prueba a la dirección de la página de inicio de Delivmail.