Cuando una regla de buzón compartido en Outlook intenta reenviar correos a la dirección de un canal privado de Teams, los mensajes se rechazan con un NDR (Non‑Delivery Report). El bloqueo proviene del filtro de correo no deseado saliente de Microsoft 365 y no del canal ni de la regla.
Contexto y síntoma
Muchas organizaciones emplean buzones compartidos para centralizar la correspondencia de un departamento (p. ej., soporte@contoso.com). Es habitual reenviar una copia de cada correo a un canal de Teams para que el equipo colabore sin salir de la plataforma.
En canales normales el reenvío suele funcionar, pero en los canales privados aparece un NDR con un texto similar a:
Your message wasn’t delivered because the recipient’s email provider rejected it.
Remote server returned ‘550 5.7.520 Access denied, Your organization does not allow external forwarding’.
Enviar correos manualmente a la misma dirección funciona, lo que descarta un problema de configuración del canal. El detonante es el reenvío automático que sale del inquilino.
Diagnóstico: el papel del filtro de spam saliente
Desde finales de 2020 Microsoft activó por defecto la protección «Automatic forwarding: Blocked» en la política global de correo no deseado saliente (Outbound Spam Filter). Su objetivo es impedir que cuentas comprometidas reenvíen correo masivo al exterior.
El motor de Exchange Online distingue entre:
- Reenvío interactivo (enviado por el usuario desde Outlook).
- Reenvío programado (reglas de bandeja de entrada o configuración de reenvío).
Solo el segundo se bloquea cuando la política está en estado Off o System‑Controlled. Al ser un canal de Teams un destinatario externo a Exchange Online, cualquier reenvío automático se ve afectado.
Solución rápida paso a paso
La forma más directa de autorizar el reenvío es crear una política personalizada de spam saliente que permita el reenvío solo al buzón compartido necesario.
- Inicia sesión como administrador global o de seguridad en el Centro de seguridad de Microsoft 365.
- Navega hasta Email & Collaboration ▸ Policies & Rules ▸ Threat policies ▸ Anti‑spam.
- Selecciona Create policy ▸ Outbound.
- Asigna un nombre descriptivo, por ejemplo Allow Forwarding ▶ Shared Mailbox Support, y continúa.
- En Users, groups, and domains añade el buzón compartido o grupo que actúa como remitente.
- En la sección Forwarding rules cambia la opción a Allow automatic forwarding.
- Revisa o ajusta los límites de envío (máx. 10 000 destinatarios/día suele ser suficiente) y guarda la política.
- Comprueba que la nueva política figure con Status = On y prioridad inferior (número mayor) que otras reglas sensibles.
Tiempo de propagación
Los cambios de políticas de seguridad pueden tardar hasta 15 minutos en aplicarse, aunque en la práctica suelen ser efectivos en 2‑3 minutos. Tras ese período, reenvía un correo de prueba para confirmar la entrega en Teams.
Tabla de opciones de reenvío
| Opción | Descripción | Uso recomendado |
|---|---|---|
| System‑Controlled | Microsoft decide si permite el reenvío según patrones de riesgo globales. | Entornos pequeños sin necesidad de reenvío externo. |
| Off (Blocked) | Bloquea todo reenvío automático a dominios externos. | Organizaciones que prohíben el reenvío por normativa. |
| On (Allowed) | Permite reenvío externo para los remitentes incluidos en la política. | Cuentas de servicio, buzones compartidos y escenarios integrados. |
Buenas prácticas de seguridad y gobernanza
- Principio de privilegio mínimo: aplica la política solo al buzón que la necesita. Evita habilitar el reenvío globalmente.
- Supervisión continua: revisa los registros de auditoría (Search ▸ Audit) para detectar picos inusuales de reenvíos.
- Avisos de compromiso: configura alertas para «Forwarding – External» en el Centro de seguridad.
- Límites de envío: mantén umbrales razonables para impedir un abuso tipo spambot.
- Segmentación por grupo: usa dynamically assigned groups si gestionas decenas de buzones con el mismo requisito.
Métodos alternativos de integración Outlook ⇆ Teams
Regla de flujo de correo (transport rule)
Un administrador de Exchange Online puede crear una regla que tome como condición recipient is “shared mailbox” y accione redirect to la dirección SMTP del canal. Ventajas:
- Se ejecuta en el transporte central, no depende de reglas de usuario.
- Aplica filtros adicionales (palabras clave, anexos, clasificación, etc.).
Inconvenientes: requiere permisos elevados y afecta a todos los mensajes que coincidan con la condición, por lo que conviene probar primero en modo Audit only.
Power Automate
Una alternativa sin tocar políticas es crear un flujo que:
- Dispare al recibir un nuevo correo en el buzón compartido.
- Use la acción Post message in a chat or channel para enviar el contenido a Teams.
El principal limitante es el tamaño del cuerpo y los anexos (25 MB por mensaje) y el consumo de licencias si el volumen es alto.
Microsoft Graph + Webhooks
Para escenarios avanzados, un servicio externo puede suscribirse a eventos de correo mediante suscripciones Graph change notifications y publicar directamente en Teams a través de Webhooks entrantes.
Preguntas frecuentes (FAQ)
¿Necesito habilitar nada especial en el canal privado?
Los canales privados heredan la configuración de «Receive email from anyone». Solo asegúrate de copiar la dirección completa acabada en @emea.teams.ms o @amer.teams.ms.
¿Afecta esto a buzones normales?
Sí, cualquier buzón (usuario o compartido) con reglas de reenvío externo se verá bloqueado si no está cubierto por una política que lo permita.
¿Qué ocurre si varios buzones necesitan reenvío?
Inclúyelos en la misma política o crea políticas independientes con distintas prioridades. Mantén la prioridad más alta (número más bajo) para las excepciones críticas.
¿Puedo usar direcciones de seguridad como DKIM o DMARC para evitar bloqueos?
No. El filtro de spam saliente se aplica antes de firmar con DKIM; el bloqueo es independiente de los registros SPF/DKIM/DMARC.
¿Cómo monitorizo que el reenvío siga funcionando?
Activa Message trace con filtro «Delivery Status = Delivered» y agrégalo a un workbook de Monitor. Así obtendrás métricas de latencia y volumen.
Conclusión
El error «Access denied, forwarding is disabled» se debe a una medida de seguridad de Microsoft 365 que protege contra spam saliente. La solución consiste en crear una política de spam saliente que permita el reenvío automático solo al buzón compartido implicado. Con esta excepción limitada y controlada, los mensajes se entregan con normalidad al canal privado de Teams sin comprometer la postura de seguridad de la organización.