Outlook.com comienza a rechazar correos electrónicos de dominios sin registros DMARC

Desde el 5 de noviembre de 2026, el servicio de correo para consumidores de Microsoft —que abarca direcciones Outlook.com, Hotmail, Live y MSN— ha comenzado a rechazar ciertos correos electrónicos de dominios que no publican un registro DMARC. Este cambio es notable porque se implementó sin un aviso formal del postmaster, una publicación en el blog o una entrada en el estado del servicio, tomando por sorpresa a muchos remitentes de bajo volumen.

Un cambio en el alcance de la aplicación

Anteriormente, las reglas publicadas por Microsoft se dirigían principalmente a los remitentes masivos —aquellos que envían más de 5,000 mensajes por día— exigiéndoles que superaran SPF, DKIM y DMARC o enfrentar un error '550 5.7.515 Access denied'. Este nuevo comportamiento, sin embargo, alcanza a los remitentes de bajo volumen, como una respuesta de una sola línea desde una pequeña oficina.

Si bien las reglas anteriores estaban dirigidas a los especialistas en marketing, este nuevo rechazo afecta a cualquier dominio que carezca de un registro DMARC. El mensaje de error proporcionado a los remitentes es '550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records', lo que sugiere un fallo fundamental de autenticación incluso cuando SPF y DKIM funcionan correctamente.

“Outlook.com, Hotmail, Live y MSN ahora rechazan parte del correo de dominios que no tienen un registro DMARC.”

— Outlook.com Is Quietly Rejecting Email From Domains Without DMARC | MailRoute

El mecanismo del rechazo inconsistente

Uno de los aspectos más desafiantes de este cambio es su inconsistencia. Microsoft no rechaza todo el correo de un dominio afectado; en su lugar, puede permitir que pase un mensaje mientras rechaza el siguiente, o un reenvío puede tener éxito repentinamente. Esta aleatoriedad puede llevar a los remitentes a asumir que se trata de un fallo temporal de la red en lugar de un requisito de configuración permanente.

El problema central es la falta de un registro DMARC para proporcionar 'alineación'. Incluso si un dominio tiene registros SPF y DKIM válidos, DMARC es el protocolo que confirma que estos registros realmente pertenecen al dominio enumerado en la dirección de 'Desde'. Sin este vínculo, Outlook.com puede tratar el correo como no autenticado.

Implicaciones prácticas y soluciones

Para las empresas que dependen de llegar a direcciones personales —como pacientes, propietarios de viviendas o solicitantes— este cambio puede resultar en fallos 'silenciosos'. Las facturas, las confirmaciones de citas y las respuestas pueden no llegar, lo que provoca la pérdida de comunicaciones y una percepción de falta de respuesta.

La solución es un único registro DNS TXT: `v=DMARC1; p=none`. Este registro establece una base para la autenticación al declarar que el dominio utiliza DMARC y pedir a los receptores que no tomen ninguna acción en caso de fallos. Si bien esto no cambia la forma en que otros proveedores como Gmail o Yahoo tratan el correo, satisface el nuevo requisito de Outlook.com.

La nueva base para la seguridad del correo electrónico

Este movimiento refleja una tendencia más amplia en la industria donde DMARC está pasando de ser una mejor práctica recomendada a una base obligatoria. Al requerir DMARC, los proveedores de buzones pueden combatir de manera más efectiva la suplantación de identidad y el phishing, que son los principales motores del compromiso de correos electrónicos empresariales.

Si bien la configuración actual `p=none` es el requisito mínimo para garantizar la entregabilidad, sirve como el primer paso hacia `p=reject`. Este nivel más alto de aplicación eventualmente indica a los receptores que rechacen cualquier correo que suplante el dominio, proporcionando una protección de marca más sólida para los remitentes legítimos.