El escaneo a email no funciona: configura una impresora con Microsoft 365 o Gmail

Qué significa

Las impresoras multifunción y los escáneres envían los escaneos por email mediante SMTP, como un programa de correo antiguo. Cuando deja de funcionar, el dispositivo suele mostrar un mensaje poco claro ("SMTP error", "authentication failed", "cannot connect to server"). La mayoría de los fallos vienen de cambios en el lado del proveedor de email: reglas de inicio de sesión más estrictas, protocolos antiguos retirados o bloqueo del correo no autenticado.

Por qué ocurre

• Ya no se acepta el inicio de sesión con contraseña. Gmail exige una contraseña de aplicación para SMTP, y Microsoft 365 suele tener SMTP AUTH desactivado. Consulta Gmail 535 5.7.8 y Microsoft 365 535 5.7.139.
• Firmware antiguo. Los dispositivos que solo admiten TLS 1.0/1.1 o cifrados antiguos no pueden conectarse a los servidores actuales.
• Puerto o cifrado incorrectos. Por ejemplo, el puerto 25 sin inicio de sesión hacia smtp.office365.com, o SSL en el 587.
• Reloj incorrecto. Un dispositivo con la fecha mal falla en la comprobación de los certificados TLS.
• Direct send bloqueado. En Microsoft 365, los administradores pueden ahora rechazar los mensajes "direct send" no autenticados.
• Correo entregado pero en spam, porque el dispositivo envía con tu dominio desde una IP que no figura en el SPF.

Cómo comprobarlo

1. Anota la configuración del dispositivo: servidor SMTP, puerto, cifrado (None, SSL/TLS, STARTTLS), usuario y dirección "From".
2. Revisa el registro o el código de error del dispositivo y actualiza su firmware.
3. Prueba la conexión desde un ordenador de la misma red:

   nc -vz smtp.office365.com 587
   nc -vz smtp.gmail.com 587

4. Envía un escaneo a la dirección única de la página de inicio de Delivmail (funciona con cualquier método que pueda llegar a direcciones externas). El informe muestra si SPF, DKIM y DMARC pasan para la dirección From del dispositivo.
5. En Microsoft 365, usa el seguimiento de mensajes (message trace) del centro de administración de Exchange para ver si el mensaje llegó y por qué se rechazó.

Cómo solucionarlo

Microsoft 365: elige uno de los tres métodos

Microsoft documenta tres formas de envío para los dispositivos.

1. Envío de cliente con SMTP AUTH (envía a cualquier destinatario):

Server:     smtp.office365.com
Port:       587
Encryption: STARTTLS
Username:   scanner@yourdomain.com (a licensed mailbox)
Password:   the mailbox password

SMTP AUTH debe estar activado para ese buzón. Microsoft está retirando la autenticación básica (usuario y contraseña) para SMTP AUTH: en el momento de escribir esto, está previsto desactivarla por defecto en los tenants existentes a finales de diciembre de 2026, con una fecha de retirada definitiva aún por anunciar. Consulta el calendario actual de Microsoft y, para las nuevas instalaciones, elige mejor un método que no dependa de ella.

2. Direct send (solo destinatarios internos, sin inicio de sesión): el dispositivo envía al host MX de tu Microsoft 365 por el puerto 25:

Server:  yourdomain-com.mail.protection.outlook.com
Port:    25
Login:   none
From:    scanner@yourdomain.com

Usa exactamente el host MX que muestra dig MX yourdomain.com +short. La IP pública de tu oficina debe ser fija y estar añadida al SPF; si no, los escaneos pueden acabar en correo no deseado. Si un administrador activó Set-OrganizationConfig -RejectDirectSend $true, el direct send se rechaza y necesitas el método 3. El direct send no puede llegar a direcciones externas, así que una prueba de Delivmail no funcionará con él.

3. Relay SMTP con un conector (envía a cualquier destinatario, sin inicio de sesión en un buzón): en el centro de administración de Exchange, crea un conector de entrada desde "your organization's email server" que identifique tu IP pública fija (o un certificado). El dispositivo envía al mismo host MX por el puerto 25. Añade la IP al SPF:

yourdomain.com.  TXT  "v=spf1 include:spf.protection.outlook.com ip4:203.0.113.20 -all"

Consulta SPF, DKIM y DMARC para Microsoft 365.

Gmail y Google Workspace

• Gmail personal o un buzón de Workspace: smtp.gmail.com, puerto 587 con STARTTLS (o 465 con SSL), la dirección completa como usuario y una contraseña de aplicación (requiere la verificación en dos pasos).
• Relay SMTP de Google Workspace: en la consola de administración, configura el servicio de relay SMTP para la IP de tu oficina y envía a smtp-relay.gmail.com por el puerto 587 (o 25/465). Si recibes "550 5.7.0 Mail relay denied", consulta relay SMTP de Google Workspace denegado.

Si el dispositivo es demasiado antiguo

Actualiza el firmware. Si sigue sin poder usar un TLS moderno, envía a través de un pequeño relay local (un servidor o un NAS que acepte el correo del dispositivo y lo reenvíe con un inicio de sesión correcto), o usa la función de escaneo a la nube del fabricante.

Comprueba que está solucionado

Envía un escaneo de prueba a la dirección de Delivmail (métodos 1 y 3, o Gmail) y comprueba que SPF, DKIM y DMARC pasan. Después escanea hacia un destinatario interno y otro externo reales. Si cambiaste el SPF, espera a la propagación DNS antes de volver a probar.