¿Sus correos enviados a cuentas Hotmail y Outlook rebotan? Microsoft ahora exige DMARC
Actualizado el 9 de noviembre de 2026 a las 13:00: agregamos cómo verificar con MXToolbox si su dominio quedó bien configurado para DMARC y DKIM.
Desde el jueves 5 de noviembre de 2026, Microsoft rechaza parte de los correos enviados a direcciones @hotmail.com, @outlook.com, @live.com y @msn.com cuando el dominio que los envía no tiene un registro DMARC. La solución es agregar un solo registro DNS y toma unos 10 minutos.
El problema afecta a empresas pequeñas que nunca habían tenido inconvenientes, no solo a quienes envían newsletters masivas. Lo hemos visto en clientes que usan Zoho Mail, Google Workspace o proveedor de correo propio. Si su empresa tiene un dominio propio (por ejemplo @suempresa.cl) y sus clientes o proveedores usan Hotmail, este artículo es para usted.
El error que están recibiendo
Quien envía el correo recibe un mensaje de rebote como este:
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)
Al final viene el nombre de un servidor de Microsoft y una fecha, que cambian en cada mensaje. Tres detalles confunden a la mayoría:
- Es intermitente. Algunos correos del mismo dominio llegan y otros rebotan, incluso al mismo destinatario.
- Solo pasa con cuentas personales de Microsoft. Los correos a Gmail o a empresas que usan Microsoft 365 llegan sin problema.
- Es un error permanente. El servidor no reintenta: hay que volver a enviar el correo una vez corregido el problema.
Importante: el problema no está en el computador ni en el programa de correo de quien envía. Reinstalar Outlook o cambiar la contraseña no sirve. Tampoco puede arreglarlo la persona que tiene la cuenta Hotmail: lo corrige el administrador del dominio que envía.
Qué cambió en Microsoft
Microsoft empezó a exigir DMARC también a los remitentes pequeños, sin anunciarlo. Hasta el 8 de noviembre no había publicado ningún aviso oficial; lo detectaron administradores de correo de todo el mundo al ver los rebotes (EasyDMARC, Windows Latest).
Es el último paso de un endurecimiento que viene hace años:
| Fecha | Quién | Qué exige |
|---|
| Noviembre 2026 | Microsoft (Hotmail/Outlook.com) | Rechaza parte del correo de dominios sin DMARC, sin importar el volumen |
| Mayo 2025 | Microsoft (Hotmail/Outlook.com) | SPF, DKIM y DMARC para quien envía más de 5.000 correos al día |
| Febrero 2024 | Gmail y Yahoo | SPF, DKIM y DMARC para envíos masivos |
Lo que sorprende es que muchos dominios afectados ya tenían SPF y DKIM bien configurados. Sin un registro DMARC, Microsoft ahora trata esos correos como no autenticados (MailRoute).
SPF, DKIM y DMARC en palabras simples
Son tres registros que se publican en el DNS de su dominio y que permiten al receptor comprobar que un correo realmente viene de usted.
| Registro | Qué hace | Analogía |
|---|
| SPF | Lista los servidores autorizados para enviar correo de su dominio | La lista de personas autorizadas a retirar su correspondencia |
| DKIM | Agrega una firma digital a cada correo que demuestra que no fue alterado | El timbre y la firma en un documento oficial |
| DMARC | Le dice al receptor qué hacer si SPF o DKIM fallan, y le pide que le envíe reportes | Las instrucciones para el conserje: qué hacer con un paquete sospechoso |
DMARC solo se considera aprobado cuando SPF o DKIM pasan para el mismo dominio que aparece en el remitente. De los dos, DKIM es el más confiable, porque SPF se rompe cuando alguien reenvía el correo.
Cómo solucionarlo
Todos los cambios se hacen en el panel DNS de su dominio (donde lo administra: su hosting, NIC Chile, Cloudflare, etc.).
Paso 1: agregar el registro DMARC
Este es el paso que resuelve el rebote. Cree un registro nuevo:
| Tipo | Nombre | Valor |
|---|
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:postmaster@suempresa.cl |
- Reemplace
suempresa.cl por su dominio y use un buzón que exista: ahí llegarán reportes diarios.
p=none no cambia cómo se entregan sus correos; solo publica la política que Microsoft busca.- Algunos paneles piden el nombre completo:
_dmarc.suempresa.cl.
Paso 2: revisar que SPF exista y sea uno solo
Debe haber un solo registro TXT en la raíz del dominio que empiece con v=spf1. Si tiene dos, SPF falla: júntelos en uno.
| Proveedor | Valor SPF típico |
|---|
| Zoho Mail (zoho.com) | v=spf1 include:zohomail.com ~all |
| Google Workspace | v=spf1 include:_spf.google.com ~all |
| Microsoft 365 | v=spf1 include:spf.protection.outlook.com -all |
Si su sitio web, CRM o sistema de facturación también envía correos con su dominio, ese servicio también debe estar incluido.
Paso 3: activar DKIM en su proveedor
El registro DKIM lo genera su proveedor de correo; usted lo copia al DNS y luego lo activa en el proveedor. Si solo lo agrega al DNS, sus correos no se firman.
- Zoho Mail: Admin Console → Dominios → su dominio → Email Configuration → DKIM. Agregue un selector, publique el TXT, haga clic en Verificar y active el interruptor.
- Google Workspace: admin.google.com → Aplicaciones → Google Workspace → Gmail → Autenticar correo electrónico. Genere el registro (2048 bits, prefijo
google), publíquelo como TXT en google._domainkey y haga clic en Iniciar autenticación.
- Microsoft 365: portal de Microsoft Defender → Políticas → Configuración de autenticación de correo → DKIM. Publique los dos CNAME (
selector1 y selector2) que indica y active la firma.
Paso 4: volver a enviar los correos que rebotaron
Microsoft no los reintenta. Espere 15 a 30 minutos después del cambio y vuelva a enviarlos.
¿Cómo verificar que mi dominio está "bueno" para DMARC y DKIM?
Hay dos formas simples de comprobarlo. La primera le entrega un informe completo; la segunda sirve si la primera no le llega.
Opción 1: el informe gratuito de MXToolbox
- Envíe un correo desde su cuenta (por ejemplo usted@suempresa.cl) a
ping@tools.mxtoolbox.com. El asunto y el texto no importan.
- Espere la respuesta. En unos minutos le llega un correo de vuelta, en inglés, con un resumen llamado "DNS Record Status". Si no lo ve, revise la carpeta de spam.
- Revise cada fila. El resumen muestra, por cada fuente (columna "Source": SPF, DKIM, DMARC), si pasó o falló.
- Vea el detalle. Haga clic en "View your full deliverability report" para abrir el informe completo, con cada chequeo explicado.
Lo que importa es que SPF, DKIM y DMARC aparezcan como aprobados (Pass).
¿Le aparece un error en "DMARC Compliant"? No es necesariamente malo. MXToolbox lo marca cuando su política es p=none, porque considera que el dominio todavía no está protegido contra suplantación. Para que Hotmail y Outlook acepten sus correos, p=none es suficiente: lo importante es que SPF y DKIM pasen. Más adelante puede subir a p=quarantine o p=reject y ese aviso desaparece.
Opción 2: con una cuenta Gmail
A veces la respuesta de MXToolbox no llega o viene sin el informe. En ese caso:
- Envíe un correo de prueba desde su dominio a una cuenta Gmail.
- Abra el código fuente del mensaje (en Gmail: menú ⋮ → "Mostrar original"). Debe ver:
spf=pass dkim=pass dmarc=pass
Si dkim aparece como none o fail, DKIM no está activado en su proveedor (Paso 3). Si dmarc aparece como fail, ni SPF ni DKIM coinciden con el dominio del remitente.
También puede revisar cada registro por separado en el SuperTool de MXToolbox, escribiendo dmarc:suempresa.cl o spf:suempresa.cl.
Preguntas frecuentes
Yo uso una cuenta @gmail.com o @hotmail.com, ¿debo hacer algo?
No. Esto solo aplica a dominios propios. Si un correo suyo rebota, es un problema del proveedor.
Agregué DMARC y aún rebota, ¿qué hago?
Hay reportes de dominios con todo bien configurado que igual reciben rechazos. Revise que el encabezado diga dmarc=pass. Si es así y el rebote continúa, guarde el mensaje de rebote completo y abra un caso con el soporte de remitentes de Microsoft.
¿p=none deja mi dominio protegido?
Todavía no. Resuelve los rebotes, pero no impide que otros falsifiquen su dominio. Cuando los reportes muestren que todo su correo legítimo pasa, cambie a p=quarantine y después a p=reject.
¿Cuánto demora el cambio?
Normalmente entre 15 minutos y una hora. En algunos casos puede tardar hasta 48 horas.
Conclusión
Si su dominio no tiene un registro DMARC, agréguelo hoy: es un solo registro TXT y evita que sus correos a Hotmail y Outlook reboten. Aprovechar de activar DKIM le dará también mejor entrega en Gmail y Yahoo.
¿Necesita ayuda con su dominio?
A nuestros clientes revisamos su configuración de SPF, DKIM y DMARC y la dejamos funcionando. Contáctenos.