📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
Un bounce a las 3 de la mañana
Si administras un servidor que manda correos, esta escena te va a sonar. Es la madrugada, el cron terminó su ronda, revisas el maillog y aparece una línea nueva: 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records. No configuraste nada raro ese día. Simplemente, desde el 5 de noviembre, Outlook.com comenzó a rechazar parte del correo de dominios que no publican un registro DMARC. Sin anuncio, sin mail al postmaster, sin entrada en el estado del servicio. Nada.
El rechazo a medias, que es lo peor
Lo que hace este bloqueo de Microsoft tan tramposo no es que sea agresivo, es que es intermitente. Un correo a una dirección de Hotmail pasa. El siguiente, mismo dominio, mismo contenido, rebota. Si reenvías, quizás llega. El remitente ve un bounce lleno de siglas, lo marca como falla transitoria y sigue de largo. Y el receptor nunca se entera de que le escribiste: tu factura, tu confirmación de hora o la respuesta a una consulta se esfumó en silencio. Tener un solo correo entregado no significa que tu dominio esté a salvo.
Lo irónico: la mayoría de los dominios afectados que se están reportando tienen SPF funcionando, varios incluso DKIM. Lo que les faltaba era justamente el registro que ata todo eso al campo From. Desde mayo de 2025 Microsoft exigía SPF, DKIM y DMARC a los que mandan más de 5.000 correos diarios, y todos los pequeños asumimos que esa regla no era para nosotros. Resulta que el piso subió igual, solo que esta vez lo hicieron sin decir nada.
Revisa los tuyos ahora, son dos minutos
Lo hice en mis dominios apenas leí el hilo, y de paso te dejo el comando:
dig +short TXT _dmarc.tudominio.cl
Si responde con algo como «v=DMARC1; p=none», estás cubierto. Si no devuelve nada, te está apuntando. La solución es una sola línea TXT de DNS en _dmarc con v=DMARC1; p=none. Ese p=none es el punto de partida seguro: le dice al mundo que dominio usa DMARC y se suscribe a los reportes, pero no le ordena a nadie tratar distinto tu correo. Gmail, Yahoo y el resto ni se inmutan.
Ojo con un detalle que hace que a algunos esto no les sirva de nada: DMARC solo pasa si el SPF o el DKIM pasan para el dominio del From. Si firmas con el dominio del proveedor y no con el tuyo, el registro solito no te salva. Es el alignment, y es donde la mitad de las configuraciones se caen.
Mi opinión: la directriz es buena, la forma un desastre
Que el correo exija autenticación me parece bien, de verdad: el spoofing es el inicio de media mitad del phishing y del business email compromise, y un dominio que firma correo es mucho más difícil de robarle la identidad. Si todos tuviéramos DMARC, mañana hay menos engaños del tipo «mensaje del gerente pidiendo el pago urgente».
Pero implementarlo por la fuerza y en silencio es el peor de los mundos. Un bounce con errores crípticos y entrega parcial es la receta perfecta para que nadie diagnostique nada: ni el remitente cacha qué pasó, ni el receptor sabe que le escribieron. Es infraestructura crítica que se cambia de reglas como quien mueve un mueble de noche: nadie del otro lado escuchó nada hasta que algo se rompió. Lo mínimo decente era una entrada en el postmaster con fecha de vigencia. Todo lo demás ya lo veníamos haciendo gratis, con un registro que se publica en dos minutos.
Si tu dominio no tenía el registro, agrégalo hoy misma. Y anota la lección de fondo: los requisitos de los grandes proveedores para los «bulk senders» terminan siendo el estándar para todos; solo que nadie te avisa cuando la mano baja la pelota. Con esto tú correo va a seguir llegando, y más adelante incluso puedes subir a p=reject para que nadie finja ser tú.
Fuente de inspiración: Outlook.com Is Quietly Rejecting Email From Domains Without DMARC
