Microsoft 365 "550 5.7.606 Access denied, banned sending IP": cómo sacar tu IP de la lista

Qué significa

Microsoft 365 (Exchange Online), que aloja los buzones profesionales de muchas empresas, rechaza tu email porque tu IP de envío está en su lista de IP prohibidas. El rebote suele tener este aspecto:

550 5.7.606 Access denied, banned sending IP [203.0.113.10]. To request
removal from this list please visit https://sender.office.com/ and follow
the directions. For more information please go to
http://go.microsoft.com/fwlink/?LinkID=526655 AS(1430)

El código puede ser cualquiera entre 5.7.606 y 5.7.649; todos significan lo mismo. El bloqueo afecta a la IP, así que fallan todos los emails de ese servidor hacia cualquier organización de Microsoft 365.

Por qué ocurre

• Se ha enviado spam o phishing desde esta IP, quizá por una cuenta comprometida o una web hackeada.
• Mala reputación del rango de IP, algo habitual en proveedores de hosting y VPS de bajo coste.
• Grandes volúmenes de email hacia direcciones no válidas o destinatarios inactivos.
• Una IP nueva sin historial que de repente envía mucho.

Cómo comprobarlo

• Envía un email de prueba: en la página de inicio de Delivmail (/), copia tu dirección de prueba única y envíale un email normal desde el mismo servidor, herramienta o buzón que provocó el rebote. Abre el informe cuando esté listo.
• Lee las secciones de listas negras y de DNS inverso. Un bloqueo de Microsoft suele ir acompañado de entradas en listas negras públicas. Puedes comprobar solo la IP en /blacklists.
• Revisa los logs de tu servidor en busca de volúmenes inusuales o cuentas que envíen mucho más de lo normal.

Cómo solucionarlo

1. Corrige primero la causa. Protege las cuentas comprometidas, corrige los formularios o scripts usados para abusos y elimina el spam de la cola. Si pides la retirada sin corregir nada, la IP volverá a ser bloqueada, y las retiradas repetidas pueden ser rechazadas.
2. Comprueba lo básico: DNS inverso con un nombre de host real, y SPF, DKIM y DMARC superados para tu dominio.
3. Usa el portal de retirada de Microsoft en sender.office.com:
   • Introduce una dirección de email a la que tengas acceso y la IP que aparece en el rebote.
   • Microsoft envía un enlace de confirmación a esa dirección. Ábrelo.
   • En la página que se abre, haz clic en el botón para retirar la IP de la lista.
4. Espera a que la retirada surta efecto. Suele funcionar en pocas horas, pero puede tardar hasta 24 horas.
5. Si la IP pertenece a un proveedor de hosting o de email y no puedes corregir el origen, envíale el rebote. Puede investigar a sus clientes o darte una IP limpia.
6. Mantén buenas costumbres: envía solo a quien ha pedido tus emails, elimina las direcciones que rebotan y añade un enlace de baja a los emails de marketing.

No es lo mismo que Outlook.com

El portal sender.office.com es para los buzones profesionales de Microsoft 365. Los buzones de particulares de Outlook.com y Hotmail tienen bloqueos distintos (códigos como S3150) y un formulario de soporte aparte.

Comprueba que está solucionado

Haz una nueva prueba con Delivmail para confirmar que la autenticación se supera y que la IP está limpia. Cuando la retirada haya surtido efecto, envía un email normal a la dirección de Microsoft 365 que rebotó. Si el error vuelve, la causa sigue activa: revisa de nuevo tus logs antes de pedir otra retirada.