Para Microsoft 365: publica SPF v=spf1 include:spf.protection.outlook.com -all, activa DKIM en el portal de Defender (selectores selector1 y selector2, publicados como CNAME) y añade un registro DMARC en _dmarc empezando en p=none hasta p=reject.
El include de Microsoft es spf.protection.outlook.com. Un registro limpio es v=spf1 include:spf.protection.outlook.com -all. Añade otros remitentes al mismo registro si hace falta.
Activa DKIM en el portal de Microsoft Defender (Correo y colaboración → Directivas → Configuración de autenticación de correo → DKIM). Microsoft usa dos selectores rotatorios, selector1 y selector2, publicados como registros CNAME que apuntan a …_domainkey.<tenant>.onmicrosoft.com.
Publica v=DMARC1; p=none; rua=mailto:[email protected] en _dmarc, monitoriza y luego aplica.
Es un CNAME, así que síguelo:
$ dig CNAME selector1._domainkey.yourdomain.com +shortComprueba tu registro DMARC ahora
Abrir el verificador DMARC gratuito →Para que Microsoft pueda rotar las claves subyacentes sin que edites el DNS. Publicas dos CNAME (selector1/selector2) que apuntan a registros gestionados por Microsoft.
La guía de Microsoft usa -all (hardfail) una vez tienes la certeza de que todos los remitentes están listados; empieza en ~all si aún consolidas.
