Microsoft 365 "550 5.7.705 / 5.7.708 Access denied": tenant bloqueado, cómo solucionarlo

Qué significa

Estos dos errores significan que Microsoft 365 ha impedido que toda tu organización (tu "tenant") envíe emails al exterior, no solo un usuario. Microsoft los documenta así:

550 5.7.705 Access denied, tenant has exceeded threshold.
550 5.7.708 Access denied, traffic not accepted from this IP.

• 5.7.705: una parte tan grande del correo saliente de tu tenant parecía spam o envío masivo que Microsoft ha bloqueado los envíos del tenant.
• 5.7.708: tu correo procedía de una dirección IP con mala reputación. Microsoft dice que esto afecta sobre todo a clientes nuevos, por ejemplo con una prueba de Microsoft 365.

Si solo hay una persona bloqueada y el rebote dice 5.1.8 Access denied, bad outbound sender, es un bloqueo por usuario: consulta en su lugar 550 5.1.8 bad outbound sender.

Por qué ocurre

5.7.705

• Una cuenta de administrador comprometida que se ha usado para crear conectores que retransmiten spam a través de tu tenant.
• Un servidor local (on-premises) comprometido o una aplicación que envía correo a través de Exchange Online.
• Varias cuentas de usuario comprometidas que envían phishing a la vez.
• Envíos masivos legítimos pero mal dirigidos (listas antiguas, muchas quejas) enviados con Microsoft 365, que no está pensado para envíos masivos.
• Rara vez, una suscripción renovada que había caducado: Microsoft indica que el envío puede quedar bloqueado mientras se renueva, normalmente no más de un día.

5.7.708

• Un tenant de prueba o muy reciente que envía a destinatarios externos. Los tenants nuevos envían desde grupos de IP con peor reputación hasta que se asignan licencias reales y el tenant tiene un historial.

Cómo comprobarlo

1. En el Exchange admin center, haz un seguimiento de mensajes (message trace) de los últimos días y mira el volumen saliente por remitente. Los picos, los remitentes desconocidos o los asuntos que no has escrito son señales de abuso.
2. En el portal de Microsoft Defender, revisa Restricted entities para ver los usuarios bloqueados, y las alertas de "suspicious email sending patterns" o "user restricted from sending email".
3. Revisa los conectores (Mail flow > Connectors) en busca de cualquiera que no hayas creado tú:

   Get-InboundConnector | Format-List Name,Enabled,SenderIPAddresses,WhenCreated
   Get-OutboundConnector | Format-List Name,Enabled,SmartHosts,WhenCreated

4. En los registros de inicio de sesión de Entra, busca inicios de sesión de administradores o usuarios desde países o aplicaciones poco habituales.
5. Comprueba tus propias IP (servidor local, relay) con el comprobador de listas negras de Delivmail. Aparecer ahí suele significar que el spam salió de verdad.

Cómo solucionarlo

Solo un administrador puede corregir estos errores. Las indicaciones de Microsoft son claras: corrige primero la causa y después contacta con el soporte de Microsoft para que quite el bloqueo. El soporte no lo levantará mientras siga saliendo spam.

Limpieza (5.7.705)

1. Restablece las contraseñas y revoca las sesiones de todas las cuentas de administrador y de usuario comprometidas, y elimina los métodos MFA, reglas de bandeja de entrada y reenvíos desconocidos (paso a paso para cuentas pirateadas).
2. Elimina o desactiva los conectores que no hayas creado y revisa quién tiene roles de administrador.
3. Protege cualquier servidor local o aplicación que retransmita a través de Microsoft 365: actualízalo, exige autenticación y asegúrate de que no es un relay abierto.
4. Impón MFA a todo el mundo, empezando por los administradores, y bloquea la autenticación heredada donde puedas.
5. Lleva las newsletters y los envíos masivos a un servicio de email marketing dedicado con tu dominio autenticado.

Pide que se quite el bloqueo

Abre una solicitud de soporte desde el Microsoft 365 admin center (Support > Help & support, o a través de tu partner). Incluye un ejemplo de rebote con el error completo, la fecha en que empezó y una breve lista de lo que has encontrado y corregido. Los formularios de autoservicio para quitar bloqueos de IP (los que se usan para los errores 5.7.606 de IP vetada) no sirven para un bloqueo de tenant.

5.7.708 en un tenant de prueba

Microsoft dice que contactes con el soporte y pidas una excepción de IP hasta que asignes licencias de Exchange Online. En la práctica, lo que te saca del grupo de baja reputación es comprar y asignar licencias, enviar desde tu propio dominio verificado (no onmicrosoft.com) y mantener un volumen bajo al principio.

Comprueba que está solucionado

• Cuando el soporte confirme que se ha quitado el bloqueo, envía un email de prueba desde un usuario normal a la dirección única de la página de inicio de Delivmail. Revisa SPF, DKIM y DMARC: un tenant del que se ha abusado a menudo también tenía una autenticación débil (configúralos para Microsoft 365).
• Reenvía uno de los mensajes rebotados a su destinatario externo.
• Sigue vigilando el volumen saliente y las alertas durante unas semanas; un segundo incidente suele llevar a un bloqueo más largo.