Microsoft 365 "550 5.7.520 ... does not allow external forwarding": cómo solucionarlo

Qué significa

Alguien de una organización de Microsoft 365 ha configurado un reenvío automático (una regla de la bandeja de entrada o el reenvío del buzón) hacia una dirección externa a la organización, por ejemplo una dirección personal de Gmail. Cuando llegó un mensaje y Microsoft 365 intentó reenviarlo, su directiva de spam saliente bloqueó el reenvío y envió un rebote. Microsoft documenta este texto:

5.7.520 Access denied, Your organization does not allow external forwarding. Please contact your administrator for further assistance. AS(7555)

Quién recibe el rebote puede resultar confuso: se envía al remitente original, que puede ser externo a la organización y no ha hecho nada mal. La solución siempre está del lado de la organización que hace el reenvío.

Por qué ocurre

El reenvío automático a direcciones externas es una fuga de datos clásica: los atacantes que se hacen con un buzón suelen añadir una regla oculta que les copia todo el correo. Por eso Microsoft lo controla en la directiva de filtro de spam saliente (outbound spam filter policy), con tres opciones:

• Automatic - System-controlled (la opción por defecto). Desde 2021 se comporta como "Off" en las organizaciones nuevas y en la mayoría de las existentes, así que el reenvío está bloqueado salvo que alguien lo haya permitido.
• On - Forwarding is enabled: el reenvío externo está permitido.
• Off - Forwarding is disabled: el reenvío externo está bloqueado y produce el rebote 5.7.520.

Otros dos controles también pueden bloquear el reenvío: los dominios remotos (la opción "Allow automatic forwarding" para cada dominio externo) y las reglas de flujo de correo (mail flow rules). Cuando un control permite y otro bloquea, gana el bloqueo.

Cómo comprobarlo

1. Confirma que el rebote contiene 5.7.520 y AS(7555). Anota el buzón que reenvía, indicado en el rebote (es el destinatario del mensaje original, no la dirección final).
2. En el portal de Microsoft Defender, abre Email & collaboration > Policies & rules > Threat policies > Anti-spam, abre la directiva saliente que se aplica a ese usuario y mira Automatic forwarding rules. O en PowerShell:

   Get-HostedOutboundSpamFilterPolicy | Format-List Name,AutoForwardingMode
   Get-HostedOutboundSpamFilterRule | Format-List Name,HostedOutboundSpamFilterPolicy,From,FromMemberOf

3. Haz una lista de quién reenvía hacia fuera con el informe Auto forwarded messages del Exchange admin center, y revisa el propio buzón:

   Get-Mailbox user@yourdomain.com | Format-List ForwardingSmtpAddress,DeliverToMailboxAndForward
   Get-InboxRule -Mailbox user@yourdomain.com | Where-Object {$_.ForwardTo -or $_.RedirectTo -or $_.ForwardAsAttachmentTo}

4. Si nadie recuerda haber creado la regla, trata la cuenta como comprometida antes de hacer nada más: consulta una cuenta de email pirateada está enviando spam.

Cómo solucionarlo

Opción 1: no reenviar (a menudo la mejor respuesta)

Da acceso al usuario de otra forma: la aplicación de Outlook en su móvil, un buzón compartido o un delegado. El reenvío también tiene un coste en entregabilidad: los mensajes reenviados suelen fallar SPF en el destino final y pueden acabar en spam, como se explica en el reenvío de emails rompe SPF.

Opción 2: permite el reenvío solo a las personas que lo necesitan

No cambies la directiva por defecto a "On" para todo el mundo. Crea una directiva saliente personalizada que solo se aplique a los usuarios o al grupo autorizados:

New-HostedOutboundSpamFilterPolicy -Name "Allow forwarding" -AutoForwardingMode On
New-HostedOutboundSpamFilterRule -Name "Allow forwarding" `
  -HostedOutboundSpamFilterPolicy "Allow forwarding" -From user@yourdomain.com

Puedes hacer lo mismo en el portal de Defender (crea una directiva saliente, elige los usuarios y configura Automatic forwarding rules como On - Forwarding is enabled). Configura explícitamente la directiva por defecto como Off en lugar de "Automatic", para que el comportamiento quede claro.

Opción 3: limita a dónde puede ir el correo

Usa los dominios remotos para permitir el reenvío automático solo a dominios de socios concretos y bloquearlo para el dominio remoto por defecto (*). Recuerda que un bloqueo en cualquier sitio gana a un permiso.

Si eres el remitente externo

No hay nada que cambiar por tu parte: tu email llegó al buzón del destinatario; solo ha fallado el reenvío. Avisa al destinatario (por otro canal) de que su regla de reenvío está bloqueada para que hable con su administrador.

Comprueba que está solucionado

• Los cambios de directiva pueden tardar un rato en aplicarse. Después envía un email de prueba al buzón que reenvía desde una dirección externa y comprueba que la copia llega a la dirección externa.
• Para ver cómo perciben los filtros la copia reenviada, configura temporalmente el reenvío hacia la dirección única de la página de inicio de Delivmail: el informe muestra si SPF, DKIM y ARC sobreviven al reenvío.
• Revisa con regularidad el informe Auto forwarded messages para que una regla olvidada o maliciosa no siga activa.