Cómo solucionar el error DNS\PROBE\FINISHED_NXDOMAIN al abrir enlaces de Outlook con Safe Links

¿Al hacer clic en un enlace dentro de Outlook (escritorio) aparece el mensaje de error DNSPROBEFINISHED_NXDOMAIN? No eres la única persona: tras ciertas actualizaciones de Windows 11 y Microsoft 365, muchos usuarios se encuentran con que los hipervínculos de la Bandeja de entrada dejan de funcionar porque la dirección reescrita por Microsoft Safe Links no se resuelve. En esta guía aprenderás qué provoca el fallo, cómo reproducirlo y, sobre todo, cómo resolverlo sin comprometer la seguridad del correo.

Índice

Resumen del problema

Cuando Outlook intenta abrir un enlace, la URL primero pasa por Safe Links, un componente de Microsoft Defender for Office 365 que reescribe la dirección para escanearla en tiempo real. El navegador recibe algo como:

https://eur03.safelinks.protection.outlook.com/?url=https%3A%2F%2Fexample.com&data=...

Si el DNS configurado en el sistema o en el propio navegador no puede resolver eur03.safelinks.protection.outlook.com, Edge, Chrome o Brave mostrarán la página «No se puede acceder a este sitio» con el código DNSPROBEFINISHED_NXDOMAIN. Curiosamente, los enlaces sí funcionan en la carpeta Elementos enviados y en Outlook Web cuando se usan atajos como «Abrir en una pestaña nueva»; la incidencia afecta sobre todo a los mensajes de la Bandeja de entrada.

Por qué ocurre el error `DNSPROBEFINISHED_NXDOMAIN`

Resolución DNS inconsistente. Safe Links utiliza subdominios regionales (eur03, nam06, etc.). Si tu proveedor o la configuración «DNS seguro» bloquean la consulta, la página no se resuelve.
Ajustes restablecidos por actualizaciones. Windows 11 H2 y algunas versiones de Microsoft 365 revierten la opción «Usar DNS seguro» a un valor automático que muchas redes empresariales no soportan.
Interferencia de filtros de contenido. Extensiones para bloquear anuncios, protección web del antivirus o firewalls corporativos pueden interceptar la redirección.
Políticas de grupo (GPO) mal configuradas. En entornos administrados, el DNS puede forzarse a través de GPO y quedar obsoleto tras un cambio en la infraestructura de Microsoft.

Cómo diagnosticar el fallo paso a paso

Verifica que solo falla en Outlook (escritorio). Copia el enlace, pégalo en el navegador y comprueba si se abre.
Lanza una prueba nslookup: nslookup eur03.safelinks.protection.outlook.com Si la respuesta es «Non‑existent domain», el problema es de resolución.
Revisa la configuración de DNS seguro en el navegador:
- Edge → ☰ … > Configuración > Privacidad, búsqueda y servicios > Seguridad > Usar DNS seguro.
- Chrome → Configuración > Privacidad y seguridad > Seguridad > Usar DNS seguro.
Desactiva extensiones de filtrado temporalmente y prueba de nuevo.
Pregunta al administrador si existe una GPO que fuerce resolvers privados o bloqueos específicos.

Soluciones y pasos de corrección

Acción	Dónde se realiza	Resultado esperado
Cambiar o forzar DNS seguro a un proveedor público: Google DNS 8.8.8.8, Cloudflare 1.1.1.1, Quad9 9.9.9.9	Edge → ☰ … > Configuración > Privacidad, búsqueda y servicios > Seguridad > Usar DNS seguro. Chrome → Configuración > Privacidad y seguridad > Seguridad > Usar DNS seguro.	Los enlaces se abren con normalidad.
Vaciar la caché DNS	Consola CMD (ejecutar como administrador): `ipconfig /flushdns`	Elimina registros obsoletos tras el cambio de DNS.
Configurar DNS público a nivel de sistema o router	Pestaña «Adaptador de red» en Windows o panel de control del router doméstico	Evita depender de DNS del ISP que puedan bloquear Safe Links.
Solución provisional en Outlook Web	Botón derecho sobre el enlace → Abrir en una pestaña nueva	Omite el fallo sin cambiar ajustes.

Buenas prácticas adicionales

Comprobar la resolución tras el cambio. Ejecuta nslookup eur03.safelinks.protection.outlook.com y verifica que devuelve una IP.
Revisar extensiones y antivirus. Algunos módulos de «protección web» reemplazan el certificado TLS y provocan errores falsos de DNS.
Mantener Outlook y el navegador actualizados. Microsoft publica correcciones acumulativas; instala los parches desde Windows Update.
Documentar cambios de GPO. Si administras un dominio, registra cada modificación para revertirla si se reproduce la incidencia.

Consejos para administradores de TI

En organizaciones con Microsoft Defender for Office 365, Safe Links se gestiona desde el Microsoft 365 Defender Portal (Seguridad > Políticas y reglas > Políticas de Safe Links). Allí puedes:

Añadir exclusiones para dominios de confianza si Safe Links provoca retrasos.
Activar la opción «Reescribir enlaces solo en mensajes entrantes» para reducir la complejidad en Elementos enviados.
Monitorizar los registros de clics para identificar patrones de error.

No obstante, no desactives Safe Links de forma global; bastará con corregir la resolución DNS para restablecer la funcionalidad.

Cómo comprobar si tu ISP bloquea Safe Links

Algunos proveedores filtran dominios corporativos por error. Para averiguarlo:

Cambia temporalmente tu DNS a 1.1.1.1 / 1.0.0.1 (Cloudflare) en el adaptador de red.
Ejecuta nslookup eur03.safelinks.protection.outlook.com.
Si ahora responde, el problema reside en el DNS del ISP; considera usar un resolver público de forma permanente.

Preguntas frecuentes

¿Pierdo seguridad si uso un DNS público?
No. Safe Links seguirá analizando las direcciones; la única diferencia es que el dominio de redirección se resuelve correctamente.

¿Puedo desactivar Safe Links solo para usuarios afectados?
Sí. En Microsoft 365 Defender crea una Política de Safe Links específica para esos usuarios y desmarca la opción «Habilitar Safe Links en Outlook y Office 365 Apps».

Después de cambiar el DNS, el problema reaparece a los pocos días. ¿Por qué?
Windows 11 puede revertir la opción «DNS seguro» tras actualizaciones mayores. Comprueba los valores después de cada parche de sistema.

Solución avanzada: forzar DNS seguro mediante PowerShell

Para automatizar la corrección en múltiples equipos, usa el siguiente script:

# Establecer Cloudflare&nbsp;DNS por interfaz de red
Get-DnsClient |
  Where-Object {$_.InterfaceAlias -notmatch "Loopback"} |
  ForEach-Object {
    Set-DnsClientServerAddress -InterfaceIndex $_.InterfaceIndex `
      -ServerAddresses ("1.1.1.1","1.0.0.1")
  }
Forzar DNS over HTTPS en Edge mediante registro
Set-ItemProperty `
  -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" `
  -Name "DnsOverHttpsMode" -Value "secure"
Set-ItemProperty `
  -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" `
  -Name "DnsOverHttpsTemplates" -Value "https://cloudflare-dns.com/dns-query{?dns}"

Distribúyelo con Intune, GPO o tu herramienta de gestión preferida.

Glosario de términos clave

Safe Links: servicio de Microsoft Defender que inspecciona enlaces en tiempo real para prevenir phishing y malware.
DNS seguro (DoH/DoT): protocolos que cifran las consultas DNS entre el cliente y el resolvedor para evitar espionaje o manipulación.
DNSPROBEFINISHED_NXDOMAIN: error generado por Chromium cuando el resolvedor no devuelve ningún registro para un dominio.
Resolver público: sistema de nombres de dominio operado por terceros (Google, Cloudflare, Quad9) accesible desde cualquier red.

Conclusión

El fallo de hipervínculos en Outlook (escritorio) suele resolverse con un cambio de DNS o limpiando la caché, sin necesidad de desactivar Safe Links. Al comprender cómo interactúan Outlook, Edge/Chrome y el DNS seguro, podrás restaurar rápidamente la productividad y mantener la capa de protección activa. Implementa las recomendaciones, documenta cada paso y mantén actualizado tu entorno para evitar que el problema reaparezca.

Última revisión: agosto 2025