SPF, DKIM y DMARC para Microsoft 365: paso a paso
Esta es la versión aplicada, hazlo-en-este-orden para Microsoft 365 — si primero quieres entender qué hacen realmente SPF, DKIM y DMARC, lee esas guías. Esta cubre solo los registros y pasos del portal específicos de Microsoft.
SPF para Microsoft 365
Añade un único registro TXT en la raíz de tu dominio:
v=spf1 include:spf.protection.outlook.com -all
La propia documentación de Microsoft usa por defecto -all (hard fail) en vez del ~all (soft fail) habitual en otros ejemplos — un punto de partida más estricto que conviene conocer antes de copiar un registro del ejemplo de otro proveedor.
DKIM para Microsoft 365: dos CNAME, no un TXT
A diferencia del único registro TXT de Google, el DKIM de Microsoft 365 usa dos registros CNAME que Microsoft genera por ti, cada uno apuntando a una clave alojada por Microsoft:
selector1._domainkey.yourdomain.com. CNAME selector1-yourdomain-com._domainkey.<tenant>.onmicrosoft.com. selector2._domainkey.yourdomain.com. CNAME selector2-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.
- Obtén los dos valores CNAME para selector1._domainkey y selector2._domainkey desde el portal Microsoft Defender (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM), o con el cmdlet de PowerShell Set-DkimSigningConfig
- Añade ambos registros CNAME exactamente como se indican
- Activa la firma DKIM para el dominio en esa misma pantalla del portal Defender — como con Google, publicar los registros por sí solo no activa la firma
DMARC para Microsoft 365
Igual que en todas partes: un registro TXT en _dmarc.tudominio.com, publicado directamente en el DNS en vez de a través de una interfaz específica de Microsoft. Empieza con p=none — consulta nuestra guía de DMARC para el proceso completo.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Verificar los tres
Una vez publicado cada registro y activada la firma DKIM, una comprobación de seguridad de correo confirma que SPF, DKIM y DMARC resuelven y se alinean correctamente.
Errores que rompen esta configuración
- Añadir solo uno de los dos registros CNAME requeridos — se necesitan ambos, y que falte uno deja a DKIM sin poder validar
- Publicar los registros CNAME pero nunca activar la firma DKIM en el portal Defender
- Entornos híbridos de Exchange donde parte del correo pasa por servidores locales no cubiertos por el mecanismo include:spf.protection.outlook.com, lo que exige añadir sus propias IP al registro SPF
Verifica tu configuración
Ve la teoría en la práctica: ejecuta Comprobación de seguridad del correo para tu propio dominio.