Microsoft 365 "550 5.4.1 Recipient address rejected: Access denied. AS(201806281)": qué significa y cómo solucionarlo

Qué significa

La organización del destinatario usa Microsoft 365. Sus servidores han comprobado la dirección a la que escribiste y han visto que no existe en su directorio, así que han rechazado el email antes incluso de aceptarlo. El rebote suele tener este aspecto:

550 5.4.1 Recipient address rejected: Access denied. AS(201806281)
[DB5EUR03FT012.eop-EUR03.prod.protection.outlook.com]

El nombre de servidor entre corchetes varía. A pesar de las palabras "Access denied", no tiene nada que ver con tu reputación, tu IP ni tu autenticación. Significa «esta dirección no se conoce aquí».

Por qué ocurre

Microsoft 365 usa una función llamada Directory-Based Edge Blocking (bloqueo perimetral basado en directorio): rechaza cualquier email dirigido a una dirección que no figura en el directorio de la organización. Motivos habituales:

• Una errata en la dirección, o la dirección antigua de alguien que ya no está en la empresa.
• El buzón, el alias o el grupo se eliminó o nunca se creó.
• Un buzón nuevo todavía no está listo, o un usuario creado en un directorio local aún no se ha sincronizado con Microsoft 365.
• El dominio está mal configurado en el tenant del destinatario: en una configuración híbrida, o cuando algunos buzones están alojados en otro sitio, el dominio debería estar como "Internal relay" y no como "Authoritative".
• El MX del dominio sigue apuntando a Microsoft 365 después de que la empresa trasladara su correo a otro proveedor.

Cómo comprobarlo

Si eres el remitente

• Revisa la ortografía de la dirección, letra a letra, y compárala con un email reciente de esa persona.
• Mira el dominio en /domain-scanner: los registros MX muestran dónde recibe el correo el dominio. Si apuntan a Microsoft 365 pero la empresa dice que usa otro proveedor, su DNS está desactualizado.
• Asegúrate de que tu propia configuración está bien enviando una prueba a la dirección única de la página de inicio de Delivmail (/). Si llega y el informe está limpio, el problema está en el lado del destinatario.

Si administras la organización receptora

• Busca la dirección en el Centro de administración de Microsoft 365, incluidos los alias (direcciones proxy), los grupos y los buzones compartidos.
• Comprueba el tipo de dominio aceptado en el Centro de administración de Exchange.
• Comprueba la sincronización del directorio si usas un Active Directory local.

Cómo solucionarlo

1. Remitente: corrige la dirección, o pide a la persona su dirección actual por teléfono o por otro canal. No puedes arreglarlo desde tu lado si la dirección no existe.
2. Administrador del destinatario: crea la dirección que falta como buzón, alias, grupo o contacto de correo, según quién deba recibirla.
3. Corrige la sincronización para que el usuario aparezca en Microsoft 365 y espera a la siguiente sincronización.
4. Cambia el dominio a Internal relay si algunas direcciones del dominio están alojadas en otro sistema, y configura el conector de salida correspondiente.
5. Actualiza los registros MX si el dominio ya no usa Microsoft 365 para el correo.

Comprueba que está solucionado

Cuando la dirección se haya creado o corregido, espera un poco (los cambios en el directorio pueden tardar hasta una hora y los cambios DNS unas horas) y vuelve a enviar el email. Si sigue rebotando con el mismo código, pide al equipo informático del destinatario que compruebe la dirección directamente en su centro de administración.