Antes de empezar
- Una cuenta de administrador de Microsoft 365 (para activar DKIM en el portal de Defender).
- Acceso al panel donde gestionas el DNS de tu dominio. No suele ser Microsoft: es tu registrador o tu hosting (IONOS, Arsys, GoDaddy, Cloudflare…).
- La lista de lo que envía correo con tu dominio además de Microsoft 365: newsletters, facturación, la web, el CRM… Si no la tienes, los informes DMARC te la darán.
1. SPF: autoriza a Microsoft a enviar por ti
Si Microsoft 365 es lo único que envía correo con tu dominio, publica este registro (o cambia el que tengas):
@ (tu dominio)TipoTXTValorv=spf1 include:spf.protection.outlook.com -allMicrosoft recomienda terminar en -all. Si otros servicios envían por ti, todo va en un único registro, con un include: por servicio:
@ (tu dominio)TipoTXTValorv=spf1 include:spf.protection.outlook.com include:servicio.ejemplo -allv=spf1 invalidan los dos. Y el SPF no puede necesitar más de 10 consultas DNS (qué pasa si te pasas). Cada subdominio que envíe correo necesita su propio SPF.2. DKIM: el paso que más se olvida
Microsoft 365 firma tu correo con su dominio onmicrosoft.com hasta que activas DKIM con el tuyo. Esa firma no cuenta para DMARC, así que este paso es imprescindible. Son dos partes: publicar dos CNAME y activar la firma.
- Entra en el portal de Microsoft Defender, en la página de autenticación de correo: security.microsoft.com/authentication (menú Correo electrónico y colaboración → Directivas y reglas → Directivas contra amenazas → Configuración de autenticación de correo electrónico) y abre la pestaña DKIM.
- En la fila de tu dominio, intenta activar el interruptor. Saldrá un error con los valores de los CNAME: ciérralo. Pulsa sobre el nombre del dominio para abrir su ficha: en Publicar CNAME aparecen los dos registros con un botón para copiarlos.
- En el panel de tu DNS, crea los dos CNAME. El nombre es siempre el mismo; el valor es el que te da Microsoft, que incluye tu dominio con guiones y el nombre de tu organización. Por ejemplo, para
tuempresa.es:
selector1._domainkeyTipoCNAMEValorselector1-tuempresa-es._domainkey.tuempresa.n-v1.dkim.mail.microsoftselector2._domainkeyTipoCNAMEValorselector2-tuempresa-es._domainkey.tuempresa.n-v1.dkim.mail.microsoftCopia los valores exactos de tu portal: la parte final cambia según la organización (en organizaciones antiguas acaba en .onmicrosoft.com).
- Espera unos minutos (a veces más) a que Microsoft vea los registros. Vuelve a la ficha del dominio y activa Firmar mensajes de este dominio con firmas DKIM. El interruptor debe quedar en Activado y el estado debe indicar que ya firma el correo de tu dominio.
onmicrosoft.com y DMARC falla. El comprobador de DKIM lo detecta.Microsoft crea las claves de 1024 bits por defecto. Para pasar a 2048 bits (recomendado), un administrador puede rotarlas desde PowerShell de Exchange Online con Rotate-DkimSigningConfig -Identity tuempresa.es -KeySize 2048.
3. DMARC: empieza observando
Con SPF y DKIM listos, publica el registro DMARC en modo observación. No cambia nada en la entrega de tu correo y hace que Gmail, Outlook y los demás te manden informes diarios:
_dmarcTipoTXTValorv=DMARC1; p=none; rua=mailto:tu-direccion-de-informesEn rua= va la dirección que recibe los informes. Si usas VigíaMail, tu panel te da el registro exacto con tu dirección. Microsoft recomienda avanzar por etapas hasta p=reject: observar, cuarentena (empezando con un porcentaje) y rechazo. El asistente de VigíaMail te dice cuándo es seguro dar cada paso.
Cómo saber si funciona
Envía un correo desde Microsoft 365 a una cuenta de Gmail, ábrelo y pulsa Más → Mostrar original. Debes ver SPF: PASS, DKIM: PASS con tu dominio (no onmicrosoft.com) y DMARC: PASS.
Si Outlook rechaza tus correos con 550 5.7.515, mira qué significa y cómo resolverlo.
Comprueba el resultado
Cuando hayas publicado los registros, analiza tu dominio: te diremos si SPF, DKIM y DMARC están bien y, si algo falla, qué registro tocar.