No se reciben correos externos en Microsoft 365 (Exchange Online): diagnóstico y solución paso a paso

¿Tu buzón de Microsoft 365 dejó de recibir correos desde Internet, pero los internos sí llegan? Aquí tienes una guía práctica y profunda para diagnosticar y resolver el problema en Exchange Online, desde comprobaciones rápidas hasta ajustes avanzados de flujo de correo, DNS y seguridad.

Índice

Síntomas y contexto

Este escenario suele presentarse así: un buzón o varios dejan de recibir mensajes de remitentes externos; algunos remitentes obtienen un NDR (Non-Delivery Report o “mensaje de no entrega”); los mensajes internos continúan funcionando; y, en ocasiones, la cuenta afectada pertenece a Outlook.com/msn sin privilegios de administración. La clave es aislar si el fallo está en el cliente, en la organización de Microsoft 365, en reglas/antispam o en el DNS del dominio.

Ruta de solución recomendada

Sigue el orden de menor a mayor complejidad. No saltes pasos: cada uno descarta una causa entera.

Aísla el problema

Prueba en Outlook en la web (OWA). Si en OWA tampoco llega el correo, el problema no es el cliente de escritorio: está en el servidor/organización o en el DNS.
Comprueba el alcance: ¿fallan todos los remitentes externos o solo algunos dominios/cuentas?
Pide el NDR completo al remitente: código, mensaje y texto detallado. El NDR revela la causa exacta del rechazo (por ejemplo, autenticación, reputación, política antispam, DMARC, tamaño, etc.).

Revisa restricciones en el buzón

Con un rol de administrador de Exchange Online:

Centro de administración de Exchange (EAC) → Destinatarios → Buzones → [buzón afectado] → Message delivery restrictions.
Quita “Require that all senders are authenticated” si necesitas recibir desde Internet. Este ajuste, si está marcado, bloquea a todos los externos.
Revisa Accept messages from / Reject messages from: evita listas que limiten a externos, dominios o grupos inesperados.
En Outlook/OWA del usuario: inspecciona Reglas de bandeja de entrada, Remitentes bloqueados y Remitentes seguros. Elimina bloqueos accidentales y reglas que mueven/eliminan mensajes.

Comprueba el flujo de correo y el antispam

EAC → Mail flow → Message trace: traza los mensajes problemáticos para ver si entran, quedan en cuarentena o se rechazan. Fíltralos por remitente, destinatario y marco temporal. Exporta el resultado para adjuntarlo a soporte si hiciera falta.
Microsoft Defender (si está activo) → Cuarentena: libera y Reporta como seguro lo que corresponda. Observa el Reason (p. ej., Phish, High confidence spam, Bulk) para ajustar políticas.
Reglas de transporte: valida que ninguna regla esté bloqueando externos por error (condiciones por dominio, cabeceras, tamaño o adjuntos).
Grupos y moderación: revisa si hay moderación de mensajes o permisos “solo remitentes autenticados” en grupos/distribuciones.

Verifica el DNS del dominio (MX)

El registro MX determina a dónde se entregan los mensajes. Para Exchange Online, el MX debe apuntar al perímetro de Microsoft, con un valor que termina en .mail.protection.outlook.com (EOP).

Si el MX apunta a un proveedor antiguo, el tráfico puede estar desviándose a ese servicio.
Si usas un filtro de terceros (p. ej., Proofpoint, Mimecast), es normal que el MX apunte a ese filtro; en ese caso, verifica sus conectores y la ruta hacia Microsoft 365.
Considera la propagación DNS: cambios en MX y SPF dependen del TTL; espera el tiempo de propagación antes de dar por válido un cambio.

Cuando es un remitente concreto

Tenant Allow/Block List (TAL): revisa si el dominio/IP del remitente está bloqueado; si procede, permítelo de forma temporal para confirmar diagnóstico.
SPF, DKIM y DMARC del remitente: solicita que validen su autenticación y que compartan el código del NDR (p. ej., 550 5.7.1, 451, 552, 553).
Mitigación temporal: añade el remitente o su dominio a Remitentes seguros del buzón, sabiendo que no es una solución definitiva.

Cuando no eres administrador (Outlook.com/msn)

Configuración → Correo → Correo no deseado: quita el remitente/dominio de Bloqueados y añádelo a Remitentes seguros.
Revisa Reglas y carpetas: asegúrate de que no haya reglas moviendo o eliminando mensajes.
Solicita el NDR al remitente: si no recibe NDR, su entrega puede estar fallando antes de llegar a Microsoft (filtros silenciosos). Pídeles validar SPF/DKIM/DMARC o que prueben desde otro dominio temporal.

Qué mirar exactamente en el registro MX

La verificación de MX es crítica porque, si está mal, no existe ajuste dentro de Microsoft 365 que arregle la recepción.

Debe existir un MX activo (prioridad más baja: 0/10) que apunte a Exchange Online con formato tu-dominio.tld.mail.protection.outlook.com.
No debe haber MX antiguos con igual o mayor prioridad que desvíen el correo.
Si usas antispam externo, el MX puede apuntar a ese servicio; valida que desde ahí el enrutamiento hacia Microsoft 365 esté operativo mediante conectores.
Cómo comprobarlo:

# Windows
nslookup -type=MX midominio.com

macOS / Linux

dig +short MX midominio.com

En el Centro de administración de Microsoft 365, en Dominios, el dominio debe aparecer “correctamente configurado”.

Árbol de decisión express

OWA no recibe → problema de servidor/organización o DNS.
- Si el Message trace no ve el mensaje → mira MX/terceros.
- Si el Message trace lo ve en cuarentena → revisa antispam/políticas.
- Si el Message trace muestra rechazo → NDR dará el motivo (código 5.x.x; reputación; tamaño; autenticación).
OWA sí recibe pero el cliente no → problema del cliente (modo sin conexión, perfiles, complementos, reglas locales, PST/OST, vista filtrada).

Tabla de códigos NDR habituales y acciones

Código	Mensaje típico	Interpretación	Acción recomendada
550 5.1.1	User unknown	El buzón/dirección no existe o el alias cambió.	Confirma la dirección, alias y políticas de direcciones. Revisa Accepted Domains y destinatarios.
550 5.7.1	Relaying denied / Not authorized	Política o autenticación impide la entrega.	Comprueba “Require auth”, reglas de transporte, moderación y allow/block lists. Para externos, debe estar desmarcado.
550 5.7.26	DMARC policy failure	DMARC del remitente falla y la política exige rechazo.	El remitente debe alinear SPF/DKIM con su From y corregir su DMARC. Como receptor, evita whitelists amplias.
451 4.7.650/751	Throttling/Temp block	Bloqueo temporal o reputación/volumen inusual.	Esperar y reintentar; revisar reputación, volumen y TAL.
552 5.2.3	Message too large	Supera el tamaño permitido.	Ajusta límites de tamaño en el tenant/reglas o reduce adjuntos.
554 5.7.1	Message rejected as spam	Clasificado como spam/alto riesgo.	Revisa políticas antispam, cuarentena y listas de permitidos; pide al emisor mejorar autenticación y contenido.

Controles clave en Exchange Online

Dónde	Qué revisar	Qué buscar
EAC → Destinatarios → Buzones	Message delivery restrictions	“Require that all senders are authenticated” desactivado; sin listas de rechazo a externos.
EAC → Mail flow → Rules	Reglas de transporte	Condiciones por dominio/cabeceras que bloqueen externos o pongan SCL alto.
Defender → Policies & Rules	Anti-spam/Anti-phish	Umbrales muy agresivos; cuarentenas silenciosas.
Defender → Review → Quarantine	Cuarentena	Mensajes retenidos para los usuarios afectados.
EAC → Mail flow → Message trace	Trazas	Estado: Delivered, Quarantined, Rejected; detalles de rechazo.
Microsoft 365 → Dominios	MX/SPF/DKIM/DMARC	MX a EOP o al filtro externo (correctamente enrutado); SPF alineado; DKIM habilitado.

Checklist rápida para empresa

OWA: ¿llegan o no?
Message delivery restrictions: “Require that all senders are authenticated” desmarcado; sin bloqueos en Accept/Reject.
Message trace y Cuarentena revisados.
MX correcto (*.mail.protection.outlook.com) o ruta externa válida, sin MX obsoletos.
Reglas de transporte y listas de bloqueo/permisos bajo control.
Para remitentes concretos: TAL, pedir NDR + validar SPF/DKIM/DMARC.
Si sigue igual: estado del servicio y caso a soporte con evidencias.

Pruebas y evidencias que aceleran el soporte

Tres ejemplos con fecha/hora UTC, remitente y asunto (dos fallidos y uno que sí llegó).
NDR completo del remitente, sin recortar.
Export de Message trace (CSV/PDF) de los intentos fallidos.
Capturas de Cuarentena con el motivo y la política aplicada.
Registros DNS actuales (MX y SPF) y fecha de último cambio/TTL.
Lista de reglas de transporte potencialmente involucradas.

Diagnóstico con PowerShell de Exchange Online

Si administras por PowerShell, estos comandos ayudan a identificar bloqueos y configuración relevante:

# Conectarse a Exchange Online (módulo EXO V3)
Connect-ExchangeOnline

Ver restricciones de entrega en un buzón

Get-Mailbox -Identity [usuario@midominio.com](mailto:usuario@midominio.com) | Format-List DeliverToMailboxAndForward,AcceptMessagesOnlyFrom\,RejectMessagesFrom\,RequireSenderAuthenticationEnabled

Reglas de transporte activas

Get-TransportRule | Select Name,State,Mode,Priority,Comments | Sort Priority

Ver Accepted Domains y su tipo (Authoritative/External Relay/Internal Relay)

Get-AcceptedDomain | Select Name,DomainName,DomainType

Revisar Remote Domains (p. ej., si se forzó SCL alto o se bloquea auto-respuesta)

Get-RemoteDomain | Select Name,DomainName,AllowedOOFType,ContentType,AutoReplyEnabled,AutoForwardEnabled

Límites de tamaño de mensajes (org y buzón)

Get-TransportConfig | Select MaxReceiveSize,MaxSendSize
Get-Mailbox [usuario@midominio.com](mailto:usuario@midominio.com) | Select MaxReceiveSize,MaxSendSize

Comprobar política de filtro de conexión (IP allow/block)

Get-HostedConnectionFilterPolicy | Format-List IPAllowList,IPBlockList

Comprobar listas de permitido/bloqueo a nivel de tenant

Get-TenantAllowBlockListItems -ListType Sender
Get-TenantAllowBlockListItems -ListType Domain
Get-TenantAllowBlockListItems -ListType Url
Get-TenantAllowBlockListItems -ListType FileHash

Ver si DKIM está habilitado en los dominios

Get-DkimSigningConfig | Select Domain,Enabled,RotateOnDate

Revisión de DNS y autenticación de correo

Un dominio bien configurado minimiza falsos positivos y rechazos:

MX: apunta a EOP (*.mail.protection.outlook.com) o a tu filtro externo legítimo.
SPF: incluye a los remitentes autorizados (p. ej., v=spf1 include:spf.protection.outlook.com -all si solo envías desde Microsoft 365). Si envías desde terceros, agrégalos explícitamente.
DKIM: habilita la firma para tus dominios en Microsoft 365 y rota periódicamente las claves.
DMARC: publica una política acorde a tu madurez (p=none para observación; p=quarantine o p=reject cuando ya está todo alineado).

Nota: si un remitente externo falla DMARC y su política exige rechazo, verás códigos como 5.7.26. En ese caso, el remitente debe corregir su alineación. Evita “permitir todo” en tu tenant: resolvería el síntoma pero abriría la puerta a suplantaciones.

Errores comunes que bloquean correo externo

“Require that all senders are authenticated” activado en el buzón, grupo o regla de transporte.
MX obsoleto con mayor o igual prioridad que desvía el tráfico a un proveedor antiguo.
Accepted Domain mal configurado (p. ej., “Internal Relay” cuando debía ser “Authoritative”).
Regla de transporte agresiva que pone SCL alto o rechaza por asunto/palabras clave.
Política antispam muy estricta sin exclusiones ajustadas, que termina en cuarentena silenciosa.
Moderación de grupos sin moderadores activos o con bypass solo para internos.
Límites de tamaño insuficientes para adjuntos frecuentes en la organización.

Escenarios con filtros de terceros

Si usas un servicio antispam externo delante de Microsoft 365:

MX → Filtro externo: debe aceptar tu dominio y encaminar hacia Microsoft 365.
Conectores: configura el conector entrante en Microsoft 365 para aceptar desde las IP/salidas del filtro.
Allow/Block en el filtro: evita permitir por dominio genérico; prefiere autenticación (SPF/DKIM/DMARC) y reputación.
Prueba end-to-end: envía desde fuera del filtro, verifica logs y comprueba el Message trace en Microsoft 365.

Entornos híbridos

En híbrido, el correo puede entrar por EOP y luego bajar a Exchange on-premises:

MX en EOP: comúnmente preferido; conector de EOP hacia on-prem con TLS y certificados válidos.
Accepted Domains: consistentes entre on-prem y nube.
Rutas asimétricas: evita que el inbound entre por on-prem si este no está disponible o mal publicado.
Pruebas: envíos a buzones puros en la nube vs. buzones on-prem para identificar el eslabón que falla.

Guía práctica para Message trace

Define el intervalo que cubra intentos fallidos (añade margen).
Filtra por destinatario afectado y por remitente si lo conoces.
Observa el “Event type” (Submit, Deliver, Expand, Fail, Quarantine).
Abre el detalle para revisar: RecipientStatus, Action, Message-ID, Connector, Directionality y Diagnostic code.
Si no hay rastro, el mensaje no tocó tu tenant: revisa MX y/o filtros previos.

Plantillas de solicitud al remitente

Cuando pidas datos al remitente que rebota, envía un mensaje como este:

Asunto: Información técnica sobre el rebote al enviar a [tu dominio]

Hola, ¿podrías compartir el NDR completo (código 5.x.x incluido), la Message-ID de tu mensaje, la fecha/hora UTC del intento y tu dominio de envío? Si es posible, también el resultado de tus validaciones SPF/DKIM/DMARC para ese mensaje. Gracias.

Buenas prácticas para prevenir recidivas

DKIM habilitado en todos tus dominios activos y rotación periódica.
DMARC en modo supervisión antes de aplicar cuarentena/rechazo.
Revisiones mensuales de reglas de transporte y cuarentenas para evitar “creep de políticas”.
Auditoría de Accepted Domains y limpieza de MX antiguos en DNS públicos.
Documentar cambios de DNS con fecha y TTL para rastrear efectos de propagación.

Ejemplos de diagnóstico por síntoma

Nadie externo puede enviar pero internos sí: revisa “Require auth” en el buzón/grupo, reglas que limiten a remitentes autenticados, y si el dominio está en modo Internal Relay sin rutas adecuadas.
Un dominio específico rebota con 5.7.26: el remitente falla DMARC. Pídeles corregir alineación SPF/DKIM con el From.
Solo llegan algunos externos y otros desaparecen: mira cuarentena y políticas; si el trace no muestra nada, revisa MX a proveedor antiguo.
Mensajes grandes fallan con 552: aumenta límites de tamaño si el negocio lo requiere o instruye a usar vínculos/OneDrive.

Resumen accionable

Descarta el cliente con OWA.
Traza el mensaje. Si no aparece, revisa MX; si aparece, mira rechazo/cuarentena.
Revisa “Require auth”, reglas y grupos.
Confirma MX y SPF, habilita DKIM, valida DMARC.
Para remitentes concretos: TAL, NDR y autenticación del emisor.

Nota: problemas del cliente Outlook conectando a servidores de terceros (por ejemplo, un ISP) son un caso distinto al de “no recibir correo externo en Exchange Online”. Se solucionan revisando la configuración de la cuenta/puertos/seguridad de ese proveedor o usando su webmail para descartar el cliente de escritorio.

Apéndice técnico

Tabla de verificación de DNS

Registro	Ejemplo	Objetivo	Errores típicos
MX	`midominio.com. 0 tu-dominio.tld.mail.protection.outlook.com.`	Dirigir el correo entrante al perímetro correcto.	MX antiguo con igual/mayor prioridad; CNAME en lugar de MX; faltan puntos finales.
SPF (TXT)	`v=spf1 include:spf.protection.outlook.com -all`	Autorizar los orígenes de envío legítimos.	Múltiples SPF; uso de `~all` sin control; falta de terceros legítimos.
DKIM (CNAME)	`selector1.domainkey → selector1-tu-dominio.domainkey.tu-dominio.onmicrosoft.com`	Firmar salientes para autenticidad de dominio.	Registro incompleto; selector no publicado; DKIM deshabilitado en M365.
DMARC (TXT)	`v=DMARC1; p=none; rua=mailto:dmarc@midominio.com`	Política y telemetría de autenticación.	Ausente; políticas estrictas sin alineación previa; sin RUA/RUF.

Comandos útiles para comparar cambios de DNS

# Consultar múltiples resolvers (ejecutar desde distintas ubicaciones si es posible)
nslookup -type=MX midominio.com 1.1.1.1
nslookup -type=MX midominio.com 8.8.8.8
nslookup -type=TXT midominio.com 8.8.4.4

Validar tamaño máximo de mensajes desde PowerShell (org)

Get-TransportConfig | fl MaxReceiveSize,MaxSendSize

Ver usuarios con “RequireSenderAuthenticationEnabled”

Get-Mailbox -ResultSize Unlimited | Where {$\_.RequireSenderAuthenticationEnabled -eq \$true} | Select UserPrincipalName

Guía de buenas prácticas al ajustar políticas

Sube umbrales de spam de forma gradual y monitoriza cuarentenas.
Evita whitelists permanentes por dominio; prioriza autenticación y reputación.
Documenta cada cambio (quién, qué, cuándo, por qué) y conserva “antes/después”.
Programa auditorías trimestrales de reglas y conectores.

Cierre

La resolución de “no recibo correos externos” en Microsoft 365 pasa por comprobar primero OWA, usar Message trace y cuarentena para localizar el destino del mensaje, y después validar restricciones, reglas y DNS. Con una estrategia ordenada, el 90% de los casos se resuelve sin abrir soporte; el resto se acelera si aportas evidencias claras.

FAQ condensada

¿Dónde miro primero? OWA y Message trace.
¿Qué debe decir mi MX? Debe apuntar a *.mail.protection.outlook.com o a tu filtro externo con ruta correcta a M365.
¿Por qué algunos externos sí y otros no? Cuarentena/políticas, reglas de transporte o autenticación fallida del remitente.
¿Puedo “permitir” todo temporalmente? Solo para aislar, con alcance limitado y plazo corto. Corrige la causa de fondo.