Cómo solucionar el error 550 5.7.509: acceso denegado en Exchange Online
El error 550 5.7.509 se relaciona con la autenticación de mensajes DMARC y se recibe como una devolución cuando envía un correo electrónico y el receptor rechaza su correo electrónico debido a una falla de DMARC. El error exacto se verá así:
style="color: #333333; familia de fuentes: SegoeUI, Lato, 'Helvetica Neue', Helvetica, Arial, sans-serif; tamaño de fuente: 14px; estilo de fuente: normal; ligaduras-variantes de fuente: normal ; font-variant-caps: normal; background-color: #ffffff;">550 5.7.509: Acceso denegado, el dominio de envío yourdomain.com no pasa la verificación DMARC y tiene una política DMARC de rechazo
En este tutorial, le mostraré cómo corregir el error de Exchange Online con facilidad.
¿Cómo funciona DMARC?
DMARC significa Autenticación, informes y conformidad de mensajes basados en dominio y es un método y proceso para ayudar a los servidores de correo a determinar si un mensaje es legítimo. La política DMARC configurada en el dominio de envío ayudará al servidor de correo receptor a saber cómo debe manejar el correo entrante que no pasa la verificación DMARC.
A continuación se muestra un diagrama que ayuda a visualizar el proceso de autenticación DMARC:
Para resumir la imagen de arriba:
1. Un usuario primero envía un nuevo mensaje de correo, el servidor de correo emisor procesará y enviará este mensaje al servidor de correo del destinatario según el registro MX configurado en el dominio del destinatario en DNS público.
2. El servicio de correo del destinatario realizará 3 comprobaciones diferentes en el dominio una vez que reciba el correo:
- En primer lugar, el servidor del destinatario comprobará si la dirección IP del servidor del remitente coincide con la de los servidores autorizados dentro del registro SPF en el DNS público.
- En segundo lugar, el servidor del destinatario hará coincidir la firma DKIM cifrada en el encabezado del mensaje con el registro DKIM en el DNS público.
- Por último, el servidor del destinatario comprobará el registro DMARC del dominio del remitente en el DNS público. Este registro determinará cómo manejar el mensaje si falla el éter de la primera o segunda verificación.
3. En tercer lugar, si se aprueban las comprobaciones SPF y DKIM, DMARC dará como resultado un aprobado y el mensaje de correo se enviará al buzón del destinatario. Si DMARC falla, según la política DMARC configurada en el DNS público del remitente, el mensaje se enviará a cuarentena o se rechazará con un NDR enviado al remitente, que contiene el error 550 5.7.509.
4. Por último, si el registro DMARC del remitente está configurado para informes agregados o forenses, se enviará un correo en XML o texto sin formato que contiene información sobre el mensaje de correo al destino deseado (normalmente un buzón de correo dedicado o una plataforma de análisis DMARC).
EasyDMARC tiene una herramienta sencilla y fácil de usar para generar informes DMARC, ¡compruébala!
¿Por qué recibí el error 550 5.7.509?
La razón por la que recibió el error 550 5.7.509 es que no está autenticado correctamente para realizar envíos en nombre de su dominio. Por ejemplo, si su dominio es ourcloudnetwork.com y su dirección de correo electrónico es [correo electrónico protegido]. El servicio de correo que está utilizando, como Microsoft 365, no coincide con el registro DKIM o SPF configurado en su proveedor de DNS público (como GoDaddy, por ejemplo) y, por lo tanto, regresa como un error.
Esto no significa que no se haya configurado correctamente alguna vez, podría significar que algo ha cambiado. Como tal, debe revisar quién tiene acceso para realizar cambios en sus registros DNS públicos, ya que a menudo los proveedores externos solicitarán acceso (como los desarrolladores web) cuando, en realidad, este acceso debe ser únicamente con su proveedor de TI de confianza.
Además de esto, también recibió este mensaje de error porque configuró su política DMARC con la opción Rechazar. Este es el enfoque más estricto, donde los mensajes se rechazarán con el error 550 5.7.509 si la política no se aprueba.
Cómo solucionar el error 550 5.7.509
Para resolver este error, resaltaré todos los pasos necesarios que debe realizar en su entorno para que el correo electrónico se marque correctamente como legítimo y pase las comprobaciones DMARC. Siga los pasos a continuación:
Paso 1: Identifique su servidor de envío
A veces, especialmente si no participó en la configuración de la solución de correo de su organización, el servidor de envío no es el mismo que el servidor que utiliza para acceder a su correo electrónico. Por ejemplo, el siguiente diagrama muestra un caso en el que el remitente utiliza Exchange Online como su servidor de correo electrónico principal. En Exchange Online se configura un conector de envío que dirige el correo saliente a un servicio de filtrado de correo de terceros antes de reenviarlo al destinatario.
Entonces es crucial que este servicio de filtrado de correo esté configurado correctamente para SPF y DKIM, lo que permitiría pasar DMARC. Le recomiendo que convierta su flujo de correo en un diagrama, haciéndolo simple para quien necesite familiarizarse con él.
Paso 2. Revisa y corrige tu registro SPF
Una vez que esté familiarizado con su flujo de correo, lo primero que debe verificar es que su registro SPF esté configurado correctamente con el servicio de correo que envía en nombre de su dominio. Si lo desea, puede comprobar si su verificación SPF pasa actualmente enviando un correo electrónico a un servicio que no rechazará su correo de forma predeterminada (como una cuenta personal de GMail) y viendo las propiedades del mensaje. Aquí hay un ejemplo de un correo electrónico de prueba que me envié desde un servicio de suplantación de identidad:
Existen algunos métodos para verificar cómo está configurado su registro SPF. La forma más rápida es utilizar la herramienta nslookup en la línea de comando de su estación de trabajo. Intente ejecutar el siguiente comando y cambie 'ourcloudnetwork.com' a su dominio de correo electrónico:
nslookup -type=txt ourcloudnetwork.comAquí están mis resultados:
Si este comando no devuelve un resultado que incluya v=spf1, entonces sabrá que esto es parte del problema. Los registros SPF se pueden sobrescribir o eliminar rápidamente si alguien realiza un cambio en su registrador DNS, como restablecer todos los registros o cambiar los servidores de nombres.
Asegúrese de tener su registro SPF configurado correctamente. El registro SPF debe ser un registro DNS basado en texto y comenzar con v=spf1 y terminar con -all (preferiblemente). Debe haber una sección incluir: que incluya la IP pública del servidor de correo de envío o un subdominio spf específico proporcionado por su proveedor de correo; por ejemplo, el registro SPF de Microsoft 365 es spf .protection.outlook.com.
Paso 3. Revisa y repara DKIM para tu dominio
El objetivo de DKIM es similar al de SPF: validar que el remitente está autorizado a enviar en nombre del dominio emisor. Aunque funciona un poco diferente. DKIM utilizó criptografía para firmar un correo electrónico utilizando una clave privada del servidor de envío autorizado (en muchos casos, Microsoft 365), los destinatarios del correo utilizarán la clave pública publicada por los servidores DNS públicos de los dominios de envío para verificar el mensaje. Siempre que la firma adjunta al correo electrónico no se haya modificado durante el tránsito, el mensaje pasará la verificación DKIM.
En algunos casos, es posible que DKIM no esté (o nunca haya estado) configurado. Además de esto, si un servicio de correo envía un correo electrónico sin firmar DKIM (ya sea legítima o maliciosamente), DKIM devolverá ninguno (dkim=none). Esto aún puede provocar que el destinatario rechace el correo electrónico debido a una falta total de autenticación.
Si un servicio de correo firma un correo electrónico con DKIM, pero la clave pública no coincide para descifrar la firma, entonces se encontrará el siguiente error en el encabezado de su correo electrónico:
Para corregir su registro DKIM, debe seguir las instrucciones proporcionadas por su proveedor de correo electrónico, ya que los pasos para habilitar la firma DKIM desde el lado del servicio de correo electrónico son diferentes para cada proveedor. Para Microsoft 365, debe seguir los pasos a continuación:
Inicie sesión en el portal de administración de Microsoft Defender > Políticas y reglas > Políticas de amenazas > Configuración de autenticación de correo electrónico > DKIM > Selecciona tu dominio y habilita DKIM
En este punto, se le proporcionarán los registros DNS necesarios que deberá agregar a su proveedor de DNS público.
En este punto, para la mayoría de las personas, si ha configurado correctamente SPF y DKIM, ya no debería recibir los mensajes de devolución y el correo debería entregado con éxito. Sin embargo, si utiliza otros servicios de terceros para enviar correo o si aún recibe mensajes NDR, continúe con los siguientes pasos.
Paso 4. Revierta su DMARC a 'ninguno' y configure los informes DMARC
Básicamente, el error 550 5.7.509 se devuelve como un correo electrónico de devolución cuando su política DMARC está configurada para rechazar (dmarc=reject). Por lo tanto, la solución más sencilla (a corto plazo) es volver a establecer su política DMARC en ninguna, mientras continúa solucionando y resolviendo cualquier problema.
En este punto, tanto el Paso 2 como el Paso 3 para SPF y DKIM siguen siendo los más relevantes; sin embargo, es probable que esté utilizando un servicio de correo de terceros para enviar correos electrónicos de su dominio. Algunos ejemplos de esto podrían ser los sistemas de gastos, los sistemas de recursos humanos o los sistemas de marketing.
DMARC también admite informes cuando un correo electrónico no supera las comprobaciones del registro DMARC. Esto le permite a usted, como administrador, revisar estos correos electrónicos de informes para identificar problemas de configuración para los servicios que envían correos electrónicos en nombre de su dominio. Desafortunadamente, la mayoría de los servicios de correo electrónico no tienen un servicio de análisis integrado; sin embargo, los informes DMARC se pueden enviar a cualquier correo para ser leídos e interpretados; lo ideal es utilizar un servicio de terceros para un análisis preciso de los informes.
A continuación se muestra un registro DMARC de ejemplo con la política establecida en ninguna:
v=DMARC1; p=none; pct=100; [email ; fo=1"Para desglosar esta política:
- P=none: esto establece la política DMARC en ninguna y recomienda que los destinatarios no hagan nada con los correos electrónicos que no pasan la verificación DMARC.
- pct=100: esto significa que la política se aplicará al 100 % de los correos electrónicos que se reciban.
- rua=%email%: este es el destino donde desea recibir informes agregados sobre fallas de DMARC.
Paso 5. Vuelva a configurar su política DMARC en 'rechazar'
A veces, la parte más difícil de una implementación DMARC es saber cuándo volver a cambiar su política DMARC para rechazar (p=rechazar). Si lo hace demasiado pronto, los correos electrónicos podrían rebotar y tener que reenviarlos, pero dejarlo demasiado tiempo lo expone aún más a ser falsificado por actores malintencionados.
Le recomiendo que espere hasta un máximo de 1 mes para verificar que haya capturado y accionado toda la información recibida a través de sus informes DMARC. Esto permite capturar y resolver cualquier servicio que envíe correos electrónicos con una frecuencia máxima de un mes.