Si su empresa envía facturas, boletines o notificaciones por correo y su dominio no publica un registro DMARC, sus mensajes a cuentas de Outlook.com y Hotmail podrían estar siendo rechazados desde la semana pasada. Administradores de correo detectaron que Microsoft comenzó a rechazar esos envíos aunque superen las verificaciones SPF y DKIM, los otros dos mecanismos clásicos de autenticación.
El rechazo ocurre durante la propia sesión de entrega, con el error “550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records”. El servicio de filtrado MailRoute registró los primeros casos el 5 de noviembre y al día siguiente el tema ya se discutía en mailop, la lista de operadores de correo. Al Iverson, del sitio especializado Spamresource, lo reprodujo el 7 de noviembre: eliminó el registro DMARC de varios dominios propios y sus mensajes a outlook.com fueron rechazados, mientras que los enviados a dominios corporativos alojados en Microsoft 365 pasaron sin problema.
Con un registro básico basta
La firma DMARKOFF confirmó el comportamiento con pruebas propias los días 7 y 8 de noviembre. Los 16 buzones de prueba de Outlook.com y Hotmail rechazaron el mensaje cuando el dominio no tenía ningún registro DMARC. Un registro con la política más permisiva (p=none, que no pide ninguna acción contra los mensajes) bastó para que el correo fuera aceptado, y también sirvió un registro publicado en el dominio principal cuando el envío se hacía desde un subdominio.
DMARC es un estándar de autenticación que se publica como un registro de texto en el DNS del dominio, bajo el nombre _dmarc, y le indica al servidor receptor qué hacer con los correos que no superan las verificaciones. Su propósito es frenar la suplantación de dominios, una de las vías favoritas del phishing.
Un cambio sin anuncio oficial
Hasta ahora, Microsoft exigía DMARC solo a los remitentes masivos, definidos como quienes envían más de 5.000 mensajes diarios a sus dominios. Los reportes de esta semana sugieren que la exigencia se estaría aplicando a cualquier remitente, aunque Iverson advierte que no está claro si se trata de un cambio de política deliberado: algunos administradores lo describen como esporádico y Microsoft no ha hecho un anuncio público al respecto.
La solución, en cualquier caso, es sencilla y gratuita: crear un registro TXT en el DNS con el nombre _dmarc.sudominio.com y el valor “v=DMARC1; p=none”. Si usted no administra su servidor de correo, el cambio corresponde a su proveedor de correo o a la plataforma de marketing que envía mensajes en su nombre. Y si le preocupa dónde terminan sus envíos, esta guía explica cómo evitar que los correos que envía se vayan a la carpeta de spam.
Fuentes: Spamresource / DMARKOFF
