Mimecast "550 Rejected by header based Anti-Spoofing policy", "Envelope blocked" y Proofpoint "554 5.7.0 Blocked": soluciones

Qué significa

Muchas empresas protegen sus buzones con una pasarela de seguridad: un filtro que revisa cada email antes de que llegue al servidor de la empresa. Mimecast y Proofpoint son dos de los más habituales. Cuando rechazan tu email, el rebote viene del filtro del destinatario, configurado por el equipo informático del destinatario. Los mensajes suelen parecerse a estos:

550 Rejected by header based Anti-Spoofing policy: user@example.com

550 Envelope blocked - User Entry - https://...

554 5.7.0 Blocked - see https://ipcheck.proofpoint.com/?ip=203.0.113.10

Proofpoint también puede devolver un código 550 5.7.1 con palabras como "Reject for policy reason". Barracuda, otro filtro habitual, tiene sus propios códigos, que se tratan en otra guía.

Por qué ocurre

Mimecast "Anti-Spoofing policy"

Significa que el email dice venir del propio dominio de la empresa destinataria (o de un dominio que protege), pero ha llegado desde fuera. Mimecast lo trata como una posible suplantación. Casos legítimos típicos: una web, un CRM o una herramienta de facturación que envía «como» el dominio del cliente, un escáner alojado en otro sitio, o una agencia externa que envía newsletters para la empresa.

Mimecast "Envelope blocked - User Entry"

Alguien de la empresa destinataria, a menudo el propio destinatario, ha bloqueado tu dirección o tu dominio, por ejemplo desde su resumen de spam. Es un bloqueo personal o del administrador, no un problema de reputación.

Proofpoint "Blocked - see ipcheck.proofpoint.com"

Proofpoint tiene una mala puntuación de reputación para tu dirección IP de envío. Ocurre con IP que han enviado spam, que están en listas de bloqueo públicas, que son nuevas o que se comparten con malos remitentes.

Otros rechazos por «policy»

La empresa puede rechazar ciertos tipos de adjuntos, los emails que fallan DMARC, los dominios registrados recientemente o determinados países. Solo el equipo informático puede decirte qué regla se ha aplicado.

Cómo comprobarlo

1. Haz una prueba con Delivmail. Desde el mismo servidor o herramienta, envía un email a la dirección única de la página de inicio (/). Revisa SPF, DKIM y DMARC, la IP de envío, las listas negras y la puntuación del contenido. Los filtros tienen en cuenta todo esto.
2. Comprueba las listas de bloqueo. Introduce la IP de envío y tu dominio en /blacklists.
3. Usa la herramienta de Proofpoint. Abre ipcheck.proofpoint.com e introduce la IP del rebote. Te dice si la IP está bloqueada y ofrece un formulario de solicitud de retirada.
4. Guarda el rebote completo, con la fecha, la hora y cualquier número de referencia. El equipo informático lo necesita para encontrar tu email en sus logs.

Cómo solucionarlo

1. Corrige primero lo que depende de ti. Asegúrate de que SPF, DKIM y DMARC se superan y están alineados con tu dominio From, y resuelve cualquier entrada en listas de bloqueo.
2. Para los bloqueos de IP de Proofpoint, envía el formulario de solicitud de ipcheck.proofpoint.com después de corregir la causa. Con un proveedor compartido, envía el rebote a tu proveedor: es quien gestiona la IP.
3. Para el anti-spoofing, no envíes como el dominio del destinatario desde tus propios sistemas salvo que ellos lo hayan configurado. O envías desde tu propio dominio, o pides a la empresa que autorice tu servicio (en su SPF y DKIM, y en su política de Mimecast).
4. Para los bloqueos «User Entry», contacta con el destinatario por otro canal (teléfono, otra dirección) y pídele que te quite de su lista de remitentes bloqueados.
5. Contacta con el equipo informático. Pide a tu contacto que transmita tu solicitud a su equipo de IT o de seguridad. Sé breve y preciso:
   • el texto completo del rebote y la hora a la que ocurrió;
   • tu IP de envío y tu dominio;
   • una frase que explique por qué les escribes (cliente, proveedor...);
   • una petición para que autoricen tu dominio o tu IP, o que te digan qué regla se ha aplicado.

No intentes nunca saltarte el filtro de una empresa cambiando de direcciones o de dominios: es exactamente lo que hace el spam y empeora las cosas.

Comprueba que está solucionado

Haz una nueva prueba con Delivmail y confirma que la autenticación se supera y que las listas negras están limpias. Cuando el equipo informático confirme un cambio, o Proofpoint retire el bloqueo (a menudo en uno o dos días), envía un email corto al destinatario y pídele que confirme que le ha llegado. Los filtros corporativos también pueden poner un email en cuarentena sin rebote, así que una respuesta es la única prueba real.