550 5.7.509 'does not pass DMARC': el rebote de Microsoft

550 5.7.509 Access denied, sending domain example.com does not pass DMARC verification and has a DMARC policy of reject significa que Microsoft 365 revisó el dominio de tu dirección From, encontró que el mensaje no pasó DMARC, vio que el dominio publica p=reject y lo rechazó. El problema no es la dirección del destinatario. Es tu autenticación. En el correo en frío, la causa habitual es una herramienta de envío que no firma DKIM con tu dominio y usa su propio dominio de rebotes, así que ni SPF ni DKIM quedan alineados con tu dirección From. Corrige la alineación en esa herramienta y el rebote se acaba.

Cómo leer el rebote

La referencia de NDR de Exchange Online de Microsoft (actualizada el 24 de agosto de 2026) lo describe así:

Código	Texto	Causa
5.7.509	Access denied, sending domain [$SenderDomain] does not pass DMARC verification and has a DMARC policy of reject.	The sender's domain in the 5322.From address doesn't pass DMARC. (el dominio del remitente en la dirección 5322.From no pasa DMARC)

5322.From es el encabezado From que ve tu destinatario. Ese es el dominio que DMARC protege. Si tu dominio publica p=reject, les dijiste a los receptores que rechacen el correo que no pasa DMARC, y Microsoft está haciendo exactamente eso.

La guía de DMARC de Microsoft (actualizada el 3 de julio de 2026) también muestra el resultado como un rechazo genérico 550 5.7.1 en su resumen de cómo trata p=reject, así que puedes ver cualquiera de los dos códigos. El encabezado Authentication-Results mostrará dmarc=fail action=oreject en ambos casos.

Cómo pasa y cómo falla DMARC

De la misma guía de Microsoft: "A message passes DMARC if one or both of the described SPF or DKIM checks pass. A message fails DMARC if both of the described SPF and DKIM checks fail." (un mensaje pasa DMARC si una o ambas comprobaciones de SPF o DKIM descritas pasan; falla DMARC si fallan las dos). Las comprobaciones son:

• Alineación SPF: SPF pasa para el dominio MAIL FROM (sobre, return-path), y ese dominio coincide con el dominio del From.
• Alineación DKIM: una firma DKIM se verifica, y su dominio de firma (d=) coincide con el dominio del From.

"Coincide" depende del modo de alineación de tu registro DMARC. Relaxed (relajado, r, el predeterminado) permite subdominios del mismo dominio organizacional. Strict (estricto, s) exige exactamente el mismo nombre.

Dirección From	MAIL FROM o DKIM d=	Relajado	Estricto
you@example.com	example.com	Pasa	Pasa
you@example.com	bounces.example.com	Pasa	Falla
you@example.com	sendingtool.net	Falla	Falla

Esa tercera fila es el problema del correo en frío en una línea.

Por qué fallan las configuraciones de correo en frío

Causa	Cómo se ve	Solución
La herramienta de envío firma DKIM con su propio dominio	dkim=pass header.d=sendingtool.net, dmarc=fail	Configura DKIM personalizado en la herramienta con tu dominio
El dominio de rebotes de la herramienta en el MAIL FROM	spf=pass smtp.mailfrom=bounce.sendingtool.net	Configura un return-path personalizado en tu dominio o en un subdominio, si la herramienta lo permite
Un dominio de envío secundario nuevo sin DKIM	Funciona en el dominio principal y falla en el nuevo	Publica DKIM para cada dominio de envío
Alineación estricta con un subdominio	aspf=s o adkim=s, MAIL FROM en un subdominio	Usa alineación relajada, o haz que coincida exactamente con el From
Un reenvío o un gateway que modifica el mensaje	DKIM se rompe después de un intermediario	Suele estar del lado del receptor; ahí ayuda ARC
Alguien suplanta tu dominio	Fallos desde IP que no usas	No hay nada que arreglar. DMARC está funcionando

Una configuración que pasa en Gmail puede fallar igual en Microsoft si el mensaje tomó otro camino, así que prueba cada herramienta y cada dominio.

Paso 1: lee los encabezados

Envía una prueba desde la herramienta que falla a un buzón de Microsoft 365 que puedas leer (uno tuyo o el de un colega) y abre los encabezados del mensaje. Si rebota, el NDR suele incluir los encabezados originales. Busca Authentication-Results. La guía de Microsoft da este ejemplo de SPF y DKIM que pasan mientras DMARC falla:

Authentication-Results: spf=pass (sender IP is 198.51.100.10)
  smtp.mailfrom=bounces.adatum.com; dkim=pass (signature was verified)
  header.d=adatum.com; dmarc=fail action=oreject
  header.from=contoso.com;compauth=fail reason=000

Compara tres valores:

• smtp.mailfrom= (el dominio de SPF)
• header.d= (el dominio de firma DKIM)
• header.from= (tu dominio del From)

Si ninguno de los dos primeros coincide con el tercero, tu problema es la alineación. Nuestro artículo de encabezados de correo explicados recorre el resto del encabezado, y el verificador de alineación DMARC hace la comparación por ti a partir de un encabezado pegado.

Paso 2: corrige la alineación en la herramienta de envío

La guía de Microsoft sugiere dos preguntas, en este orden:

1. ¿Puede la herramienta usar tu dominio en el MAIL FROM (un return-path o dominio de rebotes personalizado)? Si es así, configúralo y SPF quedará alineado.
2. ¿Puede la herramienta firmar DKIM con tu dominio (d=yourdomain.com)? Si es así, publica el registro DKIM que te da y DKIM quedará alineado.

Solo necesitas una comprobación alineada que pase. Conviene más arreglar DKIM, porque sobrevive al reenvío y no depende del return-path.

Si envías con buzones de Google Workspace o Microsoft 365 conectados a un secuenciador, lo que cuenta es el DKIM del proveedor del buzón. Asegúrate de que esté activado con tu dominio:

• Configuración de DKIM en Google Workspace
• Configuración de DKIM en Microsoft 365

Averigua qué selectores publica ya un dominio con el buscador de selectores DKIM.

Paso 3: revisa todas las fuentes, no solo una

Muchos dominios envían desde más de un lugar: buzones, un secuenciador, un CRM, una herramienta de facturación. Cualquiera de ellos puede fallar DMARC.

1. Asegúrate de que tu registro DMARC tenga una dirección rua= para que los receptores envíen informes agregados.
2. Lee los informes con el analizador de informes DMARC. La guía de Microsoft señala el patrón que hay que buscar: SPF o DKIM que pasan pero no están alineados para una IP de envío conocida.
3. Corrige cada fuente legítima. Los fallos desde IP que no reconoces probablemente son suplantación, y tu p=reject los está bloqueando como debe.

Revisa todo el dominio de una vez con el verificador de salud del dominio de correo. Nuestro artículo sobre SPF, DKIM y DMARC explicados cubre los tres registros desde el principio.

¿Y si bajo la política?

Cambiar p=reject por p=none detiene este rebote porque los receptores dejan de actuar ante los fallos de DMARC. También hace que dejen de bloquear a cualquiera que suplante tu dominio. Gmail y Yahoo exigen a los remitentes masivos tener una política DMARC y pasar DMARC, así que un dominio que falla la alineación también tiene un problema ahí, diga lo que diga la política.

Si tienes que usarlo como parche mientras se configura el DKIM de una herramienta, hazlo por días, no por meses, y vuelve a subir por etapas. Nuestras guías de DMARC de none a reject y de ejemplos de registros DMARC cubren un despliegue seguro.

5.7.509 frente a otros rebotes de autenticación de Microsoft

Código	Dónde	Significado
550 5.7.509	Microsoft 365	Falló DMARC y el dominio del From tiene p=reject
550 5.7.515	Outlook.com para consumidores	Un remitente de alto volumen no cumple los requisitos de SPF, DKIM o DMARC. Consulta 550 5.7.515
550 5.7.606-649	Microsoft 365	Tu IP está bloqueada. Consulta 550 5.7.606

Los requisitos propios de Outlook.com para remitentes se explican en los requisitos de Microsoft Outlook para remitentes masivos. La página breve de este código de rebote es 550 5.7.509.

Dónde encaja SimpleVerifier

Este rebote tiene que ver con tu dominio, no con tu lista, así que verificar direcciones no lo cambiará. Las herramientas gratuitas de SimpleVerifier ayudan del lado del dominio: el verificador de alineación DMARC, el analizador de informes DMARC y el verificador de salud del dominio de correo no necesitan cuenta. El monitoreo de dominios en todos los planes (un dominio de envío en Starter, diez en Pro) revisa SPF, DKIM, DMARC, MX y listas de bloqueo cada día, así que un registro roto se detecta antes de una campaña.

Cuando la autenticación pase, la lista vuelve a importar. Las primeras 100 comprobaciones son gratis iniciando sesión con Google en la página de verificación. Consulta los precios.