Outlook.com "550 5.7.515 Access denied, sending domain doesn't meet the required authentication level": cómo solucionarlo

Qué significa

Desde 2025, Microsoft exige que los dominios que envían muchos emails a buzones de particulares (Outlook.com, Hotmail.com, Live.com) estén correctamente autenticados. Si tu dominio no cumple estas reglas, el email se rechaza con este mensaje:

550 5.7.515 Access denied, sending domain [yourdomain.com] doesn't meet
the required authentication level.

Las reglas se dirigen sobre todo a quienes envían más de unos 5.000 emails al día a estos buzones, pero cumplirlas es una buena práctica para todos.

Por qué ocurre

Los requisitos de Microsoft para los remitentes de gran volumen son:

• SPF debe superarse para el dominio de envío: tu registro SPF debe incluir los servidores que envían tus emails.
• DKIM debe superarse: el email debe llevar una firma DKIM válida.
• DMARC debe estar publicado con al menos p=none, y debe superarse, con SPF o DKIM alineados con el dominio de la dirección From (idealmente los dos).

El error aparece cuando falta o falla alguno de ellos. Casos típicos:

• No hay ningún registro DMARC.
• Una herramienta de newsletters o de marketing envía sin DKIM para tu dominio.
• El SPF no incluye la herramienta, o tiene un error de sintaxis o demasiadas consultas.
• DKIM firma con el dominio del proveedor en lugar del tuyo, así que no está alineado.

Microsoft también recomienda un enlace de baja que funcione, direcciones From y Reply-To válidas y una limpieza regular de las listas.

Cómo comprobarlo

• Envía un email de prueba: en la página de inicio de Delivmail (/), copia tu dirección de prueba única y envíale un email normal desde el mismo servidor, herramienta o buzón que provocó el rebote. Abre el informe cuando esté listo.
• Lee las secciones SPF, DKIM y DMARC del informe: las tres deberían superarse, y DMARC debería mostrar la alineación.
• Usa el Escáner de dominio en /domain-scanner para comprobar que tu dominio tiene un único registro SPF válido y un registro DMARC.
• Repite la prueba con cada herramienta que envía a tus clientes: buzón, herramienta de newsletters, tienda, CRM.

Cómo solucionarlo

1. Publica un registro DMARC si no tienes ninguno. Un punto de partida seguro es:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

2. Corrige SPF. Mantén un solo registro que incluya todos los servicios que envían por ti, por ejemplo v=spf1 include:spf.provider-example.com ~all, y no superes las 10 consultas DNS.
3. Activa DKIM con tu propio dominio en cada herramienta de envío. Publica los registros TXT o CNAME que te indique y luego haz clic en «Verificar» en la herramienta.
4. Alinea los dominios. El dominio de la dirección From debería coincidir con el dominio de firma DKIM y, idealmente, con el dominio de return-path (rebote) que usa SPF. Muchas herramientas permiten configurar un return path personalizado en tu dominio.
5. Añade un enlace de baja claro a los emails de marketing y elimina las direcciones que rebotan.

Comprueba que está solucionado

Espera a que los cambios DNS se propaguen. Envía un nuevo email desde cada herramienta a una nueva dirección de prueba de Delivmail y confirma que SPF, DKIM y DMARC se superan con alineación. Después vuelve a enviarlo a la dirección de Outlook.com o Hotmail que rebotó. Con la autenticación correcta, este error concreto debería desaparecer; aun así pueden aplicarse otros filtros, así que mantén tus listas limpias.