Configura SPF, DKIM y DMARC para Microsoft 365

Qué significa

Con Microsoft 365, Exchange Online envía tus emails. Tu dominio tiene que demostrar a los receptores que confía en Microsoft, con tres registros DNS:

• SPF incluye los servidores de Microsoft como remitentes autorizados.
• DKIM firma cada email con una clave vinculada a tu dominio.
• DMARC indica a los receptores qué hacer con los emails que fallan, y te envía informes.

Si nunca activaste DKIM para tu dominio personalizado, Microsoft firma con tu dominio onmicrosoft.com. Esa firma pasa, pero no coincide con tu dirección From, así que no ayuda a tu DMARC.

Por qué importa

Gmail, Yahoo y Outlook.com esperan SPF y DKIM, y DMARC para los envíos masivos. La propia Microsoft rechaza o manda a correo no deseado cada vez más emails que fallan estas comprobaciones.

Cómo comprobarlo

Delivmail lo comprueba por ti de dos formas:

• Envía un email de prueba: en la página de inicio (/), copia tu dirección de prueba única, envíale un email normal desde el buzón que quieres comprobar y abre el informe. SPF, DKIM y DMARC deberían pasar todos, con DKIM mostrando d=yourdomain.com.
• Usa el Escáner de dominio: escribe tu dominio en /domain-scanner para leer tus registros SPF y DMARC.

Cómo solucionarlo

1. SPF

En tu proveedor de DNS, mantén un único registro TXT que empiece por v=spf1 en @. Solo para Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Si otras herramientas envían por ti, añade sus includes a la misma línea. Usa ~all mientras no estés seguro de que la lista esté completa.

2. DKIM

1. Abre el portal de Microsoft Defender y ve a Email & collaboration, Policies & rules, Threat policies, Email authentication settings y luego a la pestaña DKIM.
2. Selecciona tu dominio personalizado. Microsoft muestra dos registros CNAME, llamados selector1._domainkey y selector2._domainkey.
3. Copia los valores exactos que muestra el portal: apuntan a un host de Microsoft construido a partir de los nombres de tu dominio y de tu tenant. No los adivines.
4. Añade los dos registros CNAME en tu proveedor de DNS.
5. Espera a que sean visibles y activa Sign messages for this domain with DKIM signatures.

Dos selectores permiten a Microsoft rotar las claves sin romper nada. Conserva los dos registros para siempre.

3. DMARC

Añade un registro TXT llamado _dmarc:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Lee los informes durante unas semanas. Cuando todas las fuentes reales pasen, cambia a p=quarantine y después a p=reject.

4. No olvides el resto

• Cada herramienta adicional (newsletters, facturas, formularios web) necesita su propio include SPF y su configuración DKIM.
• Si solo tienes el dominio onmicrosoft.com, no hay nada que hacer ahí: Microsoft lo gestiona.

Comprueba que está solucionado

• Vuelve a pasar el Escáner de dominio: un registro SPF válido y un registro DMARC.
• Envía un nuevo email de prueba desde Outlook: las tres líneas deberían pasar, con DKIM firmado por tu propio dominio.
• Con la monitorización DMARC de Delivmail en el panel de pago, puedes seguir los informes diarios antes de endurecer tu política.

Ayuda oficial: SPF, DKIM y DMARC para Microsoft 365.