Outlook "This sender failed our fraud detection checks": cómo solucionarlo

Qué significa

Los destinatarios que usan Outlook.com, Hotmail u Outlook en la web ven una barra de aviso en la parte superior de tu email. El texto suele ser:

This sender failed our fraud detection checks and may not be who they appear to be. Learn about spoofing

Microsoft no pudo confirmar que el email procedía realmente del dominio que aparece en la dirección From. Aun así entregó el mensaje (a menudo en correo no deseado), pero avisa al lector de que podría estar suplantado: enviado por alguien que se hace pasar por ti.

Este aviso es más grave que la imagen gris con "?" y la línea "We can't verify the sender". Esos indican "no verificado"; este indica "la verificación ha fallado". Si solo ves el "?", lee mejor Outlook muestra "?" o "We can't verify the sender".

Por qué ocurre

Microsoft combina SPF, DKIM, DMARC y otras señales en un único veredicto llamado autenticación compuesta (compauth). El aviso aparece cuando ese veredicto es un fallo. Motivos habituales:

• El servidor de envío no está en tu registro SPF y no hay ninguna firma DKIM válida para tu dominio. Caso típico: una web, un CRM o una herramienta de newsletters que envía "From" tu dominio sin estar autorizada.
• Falla la alineación DMARC: SPF y DKIM pasan, pero para otro dominio (el de la propia herramienta), no para el de tu dirección From. Consulta DMARC falla: SPF y DKIM no coinciden con tu dominio.
• Reenvíos o listas de correo: el mensaje se reenvió o pasó por una lista que lo modificó, así que SPF falla y la firma DKIM se rompe.
• Un formulario de contacto envía "From" la dirección del visitante (por ejemplo, una dirección de Gmail) a través de tu servidor web. Para Microsoft, eso es suplantación.
• Suplantación real: otra persona está enviando emails falsos con tu dominio.

Cómo comprobarlo

1. Envía un email de prueba desde la misma herramienta o servidor a la dirección única de la página de inicio de Delivmail. El informe muestra los resultados de SPF, DKIM y DMARC y si cada uno está alineado con tu dominio From.
2. Lee las cabeceras de un mensaje marcado en el buzón del destinatario (en Outlook en la web: los tres puntos y luego View > View message source). Busca Authentication-Results:

   Authentication-Results: spf=fail (sender IP is 203.0.113.25) smtp.mailfrom=yourdomain.com;
    dkim=none (message not signed) header.d=none;
    dmarc=fail action=none header.from=yourdomain.com;
    compauth=fail reason=001

   Microsoft documenta los motivos: 000 significa que DMARC falló con una política quarantine o reject; 001 significa que falló la autenticación implícita (sin registros, o con registros débiles como SPF ~all o DMARC p=none).
3. Revisa tu DNS con el escáner de dominios: un único registro SPF que incluya todos tus remitentes, una clave DKIM para cada herramienta y un registro DMARC.

Cómo solucionarlo

1. Haz una lista de todos los servicios que envían en nombre de tu dominio: proveedor de buzón, web, facturación, CRM, newsletter, soporte.
2. Autoriza cada uno en el SPF (un solo registro, como máximo 10 consultas DNS):

   Host: yourdomain.com
   Type: TXT
   Value: v=spf1 include:spf.protection.outlook.com include:_spf.example-esp.com -all

   Usa los valores include que te dé cada proveedor; el ejemplo de arriba solo muestra la forma.
3. Activa DKIM con tu propio dominio en cada herramienta (no con el dominio por defecto de la herramienta). Es lo que mantiene la autenticación cuando el correo se reenvía.
4. Publica DMARC, empezando en modo de supervisión:

   Host: _dmarc.yourdomain.com
   Type: TXT
   Value: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

   Lee los informes, corrige cada fuente legítima y después pasa a quarantine o reject.
5. Corrige los formularios de contacto: envía From una dirección de tu dominio y pon la dirección del visitante en Reply-To.
6. Si envías con Microsoft 365, sigue SPF, DKIM y DMARC para Microsoft 365; DKIM no está activo hasta que lo activas para tu dominio personalizado.

Pedir a los destinatarios que te añadan a Remitentes seguros solo oculta el aviso para ellos. No es una solución y no ayuda a los demás destinatarios.

Comprueba que está solucionado

• Espera a que se propaguen los cambios DNS y envía una nueva prueba a la dirección de Delivmail: SPF o DKIM deben pasar y estar alineados, y DMARC debe pasar.
• Envía un mensaje nuevo a una dirección de Outlook.com y comprueba que aparece compauth=pass en sus cabeceras y que el aviso ha desaparecido. Los mensajes antiguos conservan su aviso.