Microsoft 365 "550 5.7.750 ... unregistered domains": cómo solucionarlo

Qué significa

Microsoft 365 se ha negado a enviar correo porque se envió From un dominio que tu organización no ha registrado en Microsoft 365. El rebote suele decir:

550 5.7.750 Service unavailable. Client blocked from sending from unregistered domains.

Un dominio "no registrado" (o "no aprovisionado") es un dominio que no está en tu lista de dominios aceptados (accepted domains), es decir, que nunca lo has añadido ni verificado en el Microsoft 365 admin center. Microsoft solo permite una cantidad limitada de correo desde esos dominios; por encima de ella, bloquea al remitente.

Por qué ocurre

• Se usa una segunda marca o un dominio antiguo en la dirección From (por ejemplo shop-yourdomain.com), pero solo se añadió yourdomain.com a Microsoft 365.
• Una aplicación o un servidor local retransmite a través de un conector y envía From muchos dominios distintos, por ejemplo una herramienta de tickets que usa el dominio de cada cliente, o un servidor que retransmite correo de varias empresas.
• Un conector híbrido o de relay configurado de forma demasiado amplia, que acepta correo de cualquier remitente y lo retransmite a través de Microsoft 365.
• Un atacante ha creado un conector de entrada en tu tenant para enviar spam From dominios aleatorios. Microsoft lo incluye entre las causas.

Cómo comprobarlo

1. Mira el mensaje rebotado: ¿qué dirección aparece en la línea From y ese dominio es tuyo?
2. Haz una lista de los dominios aceptados de tu tenant:

   Get-AcceptedDomain | Format-Table DomainName,DomainType,Default

   En el admin center, la misma lista está en Settings > Domains; cada dominio debería mostrar un estado correcto.
3. Haz un seguimiento de mensajes (message trace) del correo saliente reciente y agrúpalo por dominio del remitente. Cualquier dominio que no esté en la lista anterior es sospechoso.
4. Revisa los conectores, sobre todo los de entrada que no reconozcas:

   Get-InboundConnector | Format-List Name,ConnectorType,SenderIPAddresses,SenderDomains,TlsSenderCertificateName,WhenCreated

5. Comprueba el dominio con el escáner de dominios de Delivmail para ver su MX, SPF y DMARC. De todas formas, un dominio cuyo SPF no incluye spf.protection.outlook.com no debería estar enviando a través de Microsoft 365.

Cómo solucionarlo

Solo un administrador del tenant que envía puede corregirlo.

1. Añade y verifica todos los dominios desde los que envías

Es la solución más habitual. En el Microsoft 365 admin center, ve a Settings > Domains > Add domain y añade en tu proveedor DNS el registro TXT de verificación que te muestra Microsoft. Por ejemplo:

Host: shop-yourdomain.com (or @)
Type: TXT
Value: MS=ms12345678

Usa el valor exacto que te da Microsoft. Una vez verificado, añade también SPF y DKIM para ese dominio, como se explica en SPF, DKIM y DMARC para Microsoft 365, para que su correo esté autenticado y no solo aceptado. Si envías desde un subdominio, se aplica lo mismo: consulta autenticación de email para subdominios.

2. Corrige las aplicaciones que usan dominios de otros

Microsoft 365 no es un relay para dominios que no son tuyos. Configura la aplicación para que envíe From uno de tus propios dominios (y pon la dirección del cliente en Reply-To si hace falta), o envía ese tráfico a través de un servicio de email transaccional que pueda autenticar correctamente cada dominio.

3. Restringe tus conectores

Microsoft recomienda un conector basado en certificado: el conector de entrada identifica tu servidor local por su certificado TLS, y el dominio del certificado debe ser un dominio aceptado y verificado de tu tenant. Así el correo retransmitido queda ligado a un dominio tuyo en lugar de a "cualquier cosa que venga de esta IP".

4. Elimina los conectores que no hayas creado

Si encuentras un conector desconocido, trátalo como un incidente: desactívalo, revisa las cuentas de administrador y los inicios de sesión, restablece las credenciales e impón MFA a los administradores. Las grandes oleadas de spam a través de un conector malicioso también pueden provocar un bloqueo completo del tenant (5.7.705).

5. Pide a Microsoft que quite el bloqueo

Microsoft dice que contactes con el soporte una vez corregida la causa, para que se pueda quitar el bloqueo. Incluye un ejemplo de rebote y la lista de dominios que has añadido o de conectores que has corregido.

Comprueba que está solucionado

• Envía una prueba desde la misma aplicación o el mismo servidor, usando el dominio recién añadido en la dirección From, a la dirección única de la página de inicio de Delivmail. El informe debería mostrar SPF y DKIM superados y alineados con ese dominio.
• Después reenvía un mensaje que haya rebotado. Los cambios DNS de los registros de verificación y SPF pueden tardar un poco en propagarse.
• Mantén la lista de dominios aceptados al día cada vez que tu empresa añada una nueva marca o un nuevo dominio.