Un dominio que envía unos pocos correos al día, con SPF y DKIM en orden pero sin registro DMARC, puede ver cómo Outlook.com le devuelve parte de sus mensajes con un error 550. Los rebotes empezaron el 5 de noviembre de 2026, según los registros de MailRoute, y Microsoft no los ha anunciado. Se arregla con una línea de DNS, siempre que tu SPF o tu DKIM ya estén alineados con el dominio del From.
Qué ha cambiado
Desde el 5 de mayo de 2025, Microsoft exige a los dominios que envían más de 5.000 mensajes al día a Outlook.com, Hotmail, Live y MSN que pasen SPF y DKIM y que publiquen DMARC (como mínimo p=none) alineado con uno de los dos. Quien no cumple recibe un 550 5.7.515 Access denied. Era una regla para grandes remitentes, y muchos equipos con correo transaccional modesto la dieron por no aplicable.
El 6 de noviembre de 2026, el proveedor de correo MailRoute publicó que desde el día anterior Outlook.com rechaza también correo de remitentes pequeños cuyo dominio no tiene DMARC. El rebote que recoge es distinto al de 2025:
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)El primer día llegaba sin el código AS9031519. El 8 de noviembre el artículo pasó por la portada de Hacker News con más de 270 puntos, y en el hilo aparecen más casos: dominios con SPF y DKIM pero sin DMARC que fallan solo hacia Outlook mientras Gmail entrega con normalidad, y administradores que dejaron de ver rebotes al publicar el registro. Según MailRoute, a 6 de noviembre Microsoft no había publicado nada en su página de postmaster, en su blog ni en el estado del servicio.
Mi lectura es que Microsoft está aplicando a cualquier volumen la parte más básica de lo que en 2025 pedía solo a los grandes remitentes: que el dominio tenga una política DMARC publicada.
Por qué cuesta detectarlo
El rechazo no es total. MailRoute observa que solo algunos mensajes de un dominio afectado rebotan, así que el síntoma es intermitente: el correo de restablecer contraseña llega a un usuario de Hotmail y al siguiente no. Además, el texto del error no dice qué comprobación ha fallado, a diferencia del 5.7.515, y es fácil confundirlo con un problema de SPF. En el hilo de Hacker News más de uno se enteró por la queja de un cliente.
Si tu aplicación manda alertas, facturas o códigos de acceso desde un dominio propio a través de un proveedor de terceros, este es el escenario típico: SPF y DKIM configurados cuando se dio de alta el servicio y nadie se acordó de DMARC porque no se llegaba a 5.000 envíos.
Outlook.com frente a Gmail
| Requisito | Gmail | Outlook.com (desde mayo de 2025) | Outlook.com (observado desde el 5 nov 2026) |
|---|---|---|---|
| Cualquier remitente | SPF o DKIM | — | DMARC publicado |
| Más de 5.000 mensajes al día | SPF, DKIM y DMARC (p=none vale) | SPF, DKIM y DMARC alineado (p=none vale) | Igual |
| Error al incumplir | — | 550 5.7.515 | 550 5.7.1 … Auth Records |
Gmail sigue recomendando DMARC a todos, pero solo lo exige a los envíos masivos. Outlook.com es ahora el más estricto de los dos con los remitentes pequeños.
Cómo publicar DMARC sin romper nada
Comprueba si tienes registro. Si el comando no devuelve nada, no lo hay:
dig +short TXT _dmarc.tudominio.comPublica un registro TXT en
_dmarc.tudominio.comcon el valorv=DMARC1; p=none. Conp=noneno pides a ningún receptor que rechace ni que mande a spam lo que falle, así que no cambia cómo te trata Gmail ni nadie más.Revisa la alineación. Abre las cabeceras de un mensaje recibido en Outlook.com y mira los resultados de SPF, DKIM y DMARC. Para que DMARC pase, el dominio que firma con DKIM o el del remitente técnico (Return-Path, 5321.MailFrom) tiene que coincidir con el del From.
Repasa cada servicio que envía en tu nombre (CRM, facturación, plataforma de correo transaccional): debe firmar con DKIM de tu dominio o usar tu dominio en el MailFrom e incluirse en tu SPF. Si usas Microsoft 365, activa DKIM para tu dominio propio.
Cuando todo pase de forma estable, sube la política poco a poco, de
noneaquarantiney después areject, como recomienda la propia Microsoft.
Trampas
- Un
p=nonesin alineación no basta. Publicar el registro quita el motivo de este rebote, pero si ni SPF ni DKIM alinean con el From, DMARC falla igual y te expones a los filtros de Microsoft. - Reenvíos y listas de correo. Un reenvío rompe SPF y una lista que modifica el mensaje puede romper DKIM. Microsoft recomienda ARC a quien reenvía; tú solo puedes asegurarte de firmar con DKIM, que sobrevive mejor que SPF.
- La regla no está documentada. Todo lo que se sabe del 5.7.1 sale de registros de proveedores y administradores, no de Microsoft. Si el umbral o el texto del error cambian, lo veréis primero en vuestros rebotes, así que es buen momento para tener alertas sobre los 5xx hacia dominios de Microsoft.
Fuentes
- Outlook.com Is Quietly Rejecting Email from Domains Without DMARC · MailRoute, 2026-11-06
- Outlook.com Is Quietly Rejecting Email from Domains Without DMARC (discussion) · Hacker News, 2026-11-08
- Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders · Microsoft Tech Community, 2025-04-02
- Fix NDR error "550 5.7.515" in Outlook.com · Microsoft Support
- Email sender guidelines · Google Workspace Admin Help