SPF, DKIM y DMARC en Microsoft 365

Qué publicar

Paso a paso

1. En tu proveedor de DNS, publica el SPF (o añade include:spf.protection.outlook.com al que ya tengas).
2. En el portal de Microsoft Defender (security.microsoft.com), ve a Email & collaboration > Policies & rules > Threat policies > Email authentication settings > pestaña DKIM (acceso directo: security.microsoft.com/authentication?viewid=DKIM).
3. Abre tu dominio y pulsa «Create DKIM keys». El portal te muestra los dos CNAME: publícalos tal cual en tu DNS.
4. Cuando los CNAME ya resuelvan (puede tardar un rato), vuelve al dominio y activa «Sign messages for this domain with DKIM signatures».
5. Publica DMARC en p=none con un buzón rua y revisa los informes unas semanas antes de subir la política.

Errores típicos

• Dos registros SPF en el mismo dominio: los receptores los invalidan los dos. Fusiónalos en uno.
• include= en vez de include:, un espacio después de los dos puntos o un punto al final del dominio.
• Copiar las IP de Microsoft en vez del include:: cambian, y Microsoft pide no «aplanarlo».
• Publicar los CNAME de DKIM y olvidarse de activar la firma en el portal.
• Si tu DNS está en Cloudflare, los CNAME de DKIM van en «DNS only» (nube gris), no a través del proxy.

Hacia p=reject

DMARC en p=none solo observa. Con los informes (rua) ves quién envía en tu nombre; cuando todo tu correo legítimo pase SPF o DKIM alineados, sube a quarantine y después a reject. Así, nadie puede usar tu dominio para mandar correo falso.

• El auditor te da el plan por fases con los registros exactos
• Analiza los informes DMARC en tu navegador, sin subirlos
• Te avisamos si cambia la protección de tu dominio