Solución de problemas de autenticación de correo electrónico en Microsoft 365

La autenticación por correo electrónico y los registros DNS correspondientes ayudan a proteger su organización contra suplantación de identidad, suplantación de identidad (phishing) y correo no deseado. Para obtener información general sobre la autenticación por correo electrónico, consulte Autenticación por correo electrónico en Microsoft 365. Cuando se produce un error en la autenticación, los mensajes legítimos se pueden poner en cuarentena, rechazar o enrutar a la carpeta Correo no deseado. Use las tablas de solución de problemas de referencia rápida para identificar síntomas y causas comunes, seguidas de instrucciones detalladas para cada escenario de error.

Tablas de solución de problemas de referencia rápida

Use las tablas de las secciones siguientes para identificar rápidamente el síntoma, la causa probable y el vínculo a las instrucciones detalladas pertinentes.

Errores de SPF

Para solucionar problemas de errores del Marco de directivas de remitente (SPF), use la información de la tabla siguiente:

Errores de DKIM

Para solucionar problemas de errores de Correo identificado por DomainKeys (DKIM), use la información de la tabla siguiente:

Errores de DMARC

Para solucionar problemas de errores de autenticación de mensajes basados en dominio, informes y conformidad (DMARC), use la información de la tabla siguiente:

Errores de autenticación compuesta

Para solucionar problemas de errores de autenticación compuesta (compauth), use la información de la tabla siguiente:

NDR para errores de autenticación por correo electrónico

Use la información de la tabla siguiente para solucionar problemas de informes de no entrega (también conocidos como NDR o mensajes de devolución) relacionados con errores de autenticación por correo electrónico.

Solución de problemas detallada por protocolo

Solución de problemas de SPF

SPF valida que el servidor de correo de envío está autorizado para enviar en nombre del dominio en la dirección MAIL FROM (remitente del sobre). Entre los problemas comunes se incluyen:

• Varios registros SPF para el mismo dominio: solo se permite un registro TXT de SPF por dominio o subdominio. Varios registros provocan SPF permerror.
• Superando el límite de búsqueda de 10 DNS: cada includeuno de los mecanismos , a, mxptr, y redirect cuenta como una búsqueda DNS. Para reducir las búsquedas, aplane el registro SPF o use ip4/ip6 mecanismos.
• Remitentes autorizados que faltan: al agregar un nuevo servicio de correo electrónico (por ejemplo, una plataforma de administración de relaciones con clientes (CRM) o una herramienta de marketing), agregue su inclusión de SPF al registro.
• TTL demasiado bajo: establezca el TTL para el registro TXT de SPF en al menos 3600 segundos (una hora) para evitar tiempos de espera de búsqueda dns.

Para obtener instrucciones de configuración y solución de problemas completas, consulte Configuración de SPF para identificar orígenes de correo electrónico válidos para el dominio de Microsoft 365.

Solución de problemas de DKIM

DKIM usa una firma criptográfica en el encabezado del mensaje para comprobar que el mensaje no se ha alterado en tránsito. Entre los problemas comunes se incluyen:

• Registros CNAME no publicados: después de habilitar DKIM en el portal de Defender, cree dos registros CNAME en el registrador de dominios. Para ver errores comunes y ejemplos específicos del proveedor, consulte Solución de problemas de configuración de DNS DKIM.
• Error de hash del cuerpo después de la modificación: los servicios intermedios (por ejemplo, listas de correo o reglas de transporte) que modifican el cuerpo del mensaje después de la firma DKIM provocan un error de DKIM. Considere la posibilidad de configurar el intermediario como sellador de ARC de confianza.
• Rotación de claves: gire las claves de firma DKIM con regularidad. Use el Rotate-DkimSigningConfig cmdlet en Exchange Online PowerShell.

Para obtener instrucciones de configuración completas, consulte Configuración de DKIM para firmar correo desde el dominio de Microsoft 365.

Solución de problemas de DMARC

DMARC se basa en SPF y DKIM para comprobar la alineación del dominio con la dirección From. Entre los problemas comunes se incluyen:

• Desalineación de dominio: DMARC requiere que SPF o DKIM pasen y el dominio autenticado se alinee con el dominio De dirección.
• DMARC no compatible con servicios que no son de Microsoft: agregue el servicio al registro SPF o configure el servicio para que firme DKIM con su dominio (preferido). Si esas opciones no son posibles, use un subdominio para ese servicio con un registro DMARC independiente.
• Escenarios de reenvío: los mensajes reenviados suelen producir un error en DMARC porque el reenvío interrumpe SPF. Configure el filtrado mejorado para conectores o selladores arc de confianza para conservar los resultados de la autenticación.

Para obtener instrucciones de configuración completas, consulte Configuración de DMARC para validar el dominio De dirección.

Escenarios de error combinados

Cuando varios protocolos de autenticación de correo electrónico fallan simultáneamente, la solución de problemas requiere un enfoque sistemático. Use los siguientes escenarios para diagnosticar y resolver errores combinados.

Error de SPF y DKIM

Encabezado de ejemplo:

Authentication-Results: spf=fail smtp.mailfrom=contoso.com;
 dkim=fail header.d=contoso.com; dmarc=fail action=quarantine;
 compauth=fail reason=000

Análisis: se produjo un error en la autenticación SPF y DKIM, por lo que DMARC no puede pasar (DMARC necesita al menos un pase alineado). Es probable que el mensaje se ponga en cuarentena o se rechace.

Pasos para la solución de problemas:

1. Identifique la dirección IP de envío en los encabezados de mensaje o mediante Get-MessageTrace.
2. Compruebe que la dirección IP de envío está incluida en el registro SPF del dominio.
3. Compruebe que la firma DKIM está habilitada y que existen los registros CNAME dns de DKIM.
4. Compruebe si una puerta de enlace de correo electrónico está modificando mensajes (lo que interrumpe DKIM) o enviando desde una dirección IP que no está en el registro SPF.

Corregir prioridad:

1. Corrija primero SPF (solo cambio de DNS; corrección más rápida). Consulte Configuración de SPF.
2. Corrija DKIM en segundo lugar (podría necesitar cambios de Microsoft 365 y DNS). Consulte Configuración de DKIM.
3. Compruebe la alineación de DMARC. Consulte Configuración de DMARC.
4. Si hay una puerta de enlace implicada, implemente ARC.

SPF pasa, pero DMARC falla debido a la alineación

Encabezado de ejemplo:

Authentication-Results: spf=pass smtp.mailfrom=service.contoso.com;
 dkim=fail header.d=contoso.com;
 dmarc=fail (SPF not aligned);
 compauth=fail reason=001

Análisis: SPF pasa, pero el dominio SPF no se alinea con el dominio De dirección. DKIM también produce un error. DMARC necesita al menos un pase alineado, por lo que se produce un error.

Causa común: escenario de reenvío o retransmisión en el que el dominio de remitente del sobre difiere del dominio de dirección desde.

Corrección: Habilite la firma DKIM para el dominio De dirección. La alineación DKIM proporciona el pase alineado que DMARC necesita.

Conéctese a Exchange Online PowerShell y ejecute el siguiente comando:

Set-DkimSigningConfig -Identity contoso.com -Enabled $true

Mensajes de modificación de puerta de enlace o retransmisión

Encabezado de ejemplo:

Authentication-Results: spf=pass smtp.mailfrom=gateway.fabrikam.com;
 dkim=fail (body hash did not verify) header.d=contoso.com;
 dmarc=fail (no aligned pass)

Análisis: el mensaje pasado a través de una puerta de enlace o un servicio de seguridad que modificó el cuerpo del mensaje (por ejemplo, agregando un aviso de declinación de responsabilidades o un aviso de examen). La modificación invalidó la firma DKIM. SPF pasa para el dominio de puerta de enlace, pero no se alinea con el dominio Desde.

Opciones de corrección (en orden de prioridad):

1. Configuración de ARC en la puerta de enlace (recomendado): ARC conserva los resultados de autenticación mediante la modificación de mensajes. Consulte Configuración de selladores de ARC de confianza.
2. Configuración de la puerta de enlace a DKIM-sign después de la modificación: la puerta de enlace agrega su propia firma DKIM válida con el dominio después de los cambios de contenido.
3. Agregar la puerta de enlace al filtrado mejorado para conectores: conserva la dirección IP de envío original para la evaluación de autenticación. Consulte Filtrado mejorado para conectores.

El reenvío interrumpe la autenticación

Encabezado de ejemplo:

Authentication-Results: spf=fail (sender IP is 10.0.1.x)
 smtp.mailfrom=woodgrovebank.com;
 dkim=pass header.d=woodgrovebank.com;
 dmarc=fail (SPF failed, DKIM not aligned)

Análisis: un mensaje reenviado produce un error SPF porque la dirección IP del servidor de reenvío no está en el registro SPF del remitente original. DKIM podría pasar si el mensaje no se modificó, pero la alineación con el dominio From podría seguir produciendo un error.

Corrección: Configurar selladores arc de confianza. Microsoft 365 ya confía en los sellos arc de los principales proveedores (por ejemplo, Google y Yahoo). Si todavía se produce un error en la autenticación después de que ARC esté en vigor, revise la configuración de la directiva de anti phishing.

Escenarios comunes del mundo real

Enviar en nombre de en Outlook

Lo que el usuario ve:

From: [email protected] on behalf of [email protected]

Causa principal: SPF softfail o fail porque la dirección IP de envío no está autorizada en el registro SPF.

Corrección: Agregue la dirección IP o el servicio de envío al registro SPF:

v=spf1 ip4:<sending-IP> include:spf.protection.outlook.com ~all

Se produce un error en la automatización de marketing de DMARC

Encabezado de ejemplo:

Authentication-Results: spf=pass smtp.mailfrom=northwindtraders.com;
 dkim=pass header.d=northwindtraders.com;
 dmarc=fail (no aligned pass) header.from=contoso.com

Causa principal: el servicio de marketing (por ejemplo, Marketo o HubSpot) envía desde su propia infraestructura. SPF y DKIM pasan para el dominio de servicio, pero ninguno se alinea con el dominio de dirección From (contoso.com).

Opciones de corrección:

1. Configure el servicio en DKIM-sign con su dominio (preferido).
2. Agregue la inclusión de SPF del servicio al registro SPF del dominio (proporciona el pase SPF alineado).
3. Use un subdominio para el correo de marketing (por ejemplo, marketing.contoso.com):
   • Configure SPF y DKIM para el subdominio en el servicio.
   • Establezca una alineación relajada en el registro DMARC: aspf=r; adkim=r.
   • Agregue una directiva de subdominio a DMARC: v=DMARC1; p=quarantine; sp=none; rua=mailto:[email protected].

La puerta de enlace de seguridad de correo electrónico en la nube interrumpe la autenticación

Encabezado de ejemplo:

Authentication-Results: spf=pass smtp.mailfrom=tailspintoys.com;
 dkim=fail (body hash did not verify) header.d=contoso.com;
 dmarc=fail

Causa principal: un servicio de seguridad de correo electrónico que no es de Microsoft (por ejemplo, Proofpoint o Mimecast) modifica el mensaje, lo que interrumpe DKIM. El SPF de la puerta de enlace pasa para su propio dominio, pero no se alinea con el dominio Desde.

Opciones de corrección (en orden de prioridad):

1. Configure la puerta de enlace para ARC (recomendado; requiere compatibilidad con la puerta de enlace).
2. Configure el filtrado mejorado para conectores para omitir la dirección IP de la puerta de enlace en la evaluación de la autenticación. Consulte Filtrado mejorado para conectores.
3. Configure la puerta de enlace para conservar o volver a firmar DKIM después del procesamiento.

Mensajes de correo electrónico de dominio de asociados en cuarentena a pesar de la autenticación válida

Encabezado de ejemplo:

Authentication-Results: spf=pass smtp.mailfrom=wingtiptoys.com;
 dkim=pass header.d=wingtiptoys.com;
 dmarc=pass header.from=wingtiptoys.com;
 compauth=fail reason=001

Causa principal: se pasa toda la autenticación estándar, pero la autenticación compuesta de Microsoft sigue generando errores. Es probable que la inteligencia de suplantación de identidad marque el dominio del asociado debido a problemas de confianza entre inquilinos.

Corrección: Agregue el dominio de asociado a la lista de permitidos de suplantación de identidad mediante la lista de permitidos o bloqueados de inquilinos. Conéctese a Exchange Online PowerShell y ejecute el siguiente comando:

New-TenantAllowBlockListSpoofItems -SpoofedUser "*@wingtiptoys.com" -SendingInfrastructure wingtiptoys.com -SpoofType External -Action Allow

Matriz de decisión

Use la tabla siguiente para identificar rápidamente la acción necesaria en función del estado de autenticación:

Herramientas de diagnóstico

Use las siguientes herramientas para diagnosticar problemas de autenticación por correo electrónico:

Leer los resultados de autenticación en encabezados de mensaje

Para diagnosticar errores de autenticación, examine el Authentication-Results encabezado en el mensaje afectado. Para obtener una descripción completa de todos los campos y códigos de motivo, consulte Encabezado del mensaje Authentication-Results.

Encabezado de ejemplo

Authentication-Results: spf=fail (sender IP is 192.168.50.50)
 smtp.mailfrom=contoso.com; dkim=pass (signature was verified)
 header.d=contoso.com; dmarc=fail action=quarantine
 header.from=contoso.com; compauth=fail reason=000

Campos clave

Contenido relacionado

• Autenticación de correo electrónico en Microsoft 365
• Configuración de SPF
• Configuración de DKIM
• Configuración de DMARC
• Configuración de selladores arc de confianza
• Encabezados de mensajes de correo no deseado
• Configuración de suplantación de identidad en directivas contra suplantación de identidad