¿Por qué mis emails van a spam en Outlook? Cómo corregirlo

"Outlook" son tres filtros distintos, y la solución depende de cuál haya movido tu email a Correo no deseado. Está Outlook.com, el servicio de correo para consumidores de Microsoft, que también gestiona direcciones de hotmail.com, live.com y msn.com. Está Microsoft 365, con los buzones empresariales por los que pagan las empresas, donde un administrador de la empresa destinataria configura la política de spam. Y está la aplicación Outlook en el ordenador de alguien, que puede ejecutar su propio filtro de correo no deseado además de lo que haya decidido el servidor. Las reglas para remitentes que Microsoft anunció en 2025 solo se aplican al primero de estos casos.

Por eso, antes de cambiar un solo registro DNS, compruebo la dirección del destinatario. Una dirección de hotmail.com u outlook.com implica que se aplican las reglas para consumidores que aparecen a continuación. Una dirección de una empresa que gestiona su correo con Microsoft implica que se aplica una política del tenant, redactada por el equipo de TI de esa empresa.

01Outlook.com y las reglas de mayo de 2025

En abril de 2025, Microsoft anunció requisitos para los dominios que envían más de 5.000 emails al día a su servicio para consumidores, y la página de políticas para remitentes indica que entraron en vigor el 5 de mayo de 2025. Por encima de ese volumen:

• SPF debe superarse para el dominio remitente.
• DKIM debe superarse.
• DMARC debe estar publicado con «al menos p=none» y estar alineado con SPF o DKIM, «preferiblemente con ambos». La página de políticas añade que se recomienda p=reject.

El artículo de soporte sobre el rebote lo expresa de forma algo distinta. Cuenta 5.000 mensajes o más enviados a los servicios para consumidores de Microsoft que utilicen el mismo dominio en la dirección From, indica que deben superarse tanto la comprobación SPF como la comprobación DKIM y, cuando un dominio alcanza ese punto, Microsoft espera que «todos los mensajes de remitentes del dominio» cumplan las reglas, no solo el boletín que hizo que superara el umbral. Su ejemplo de DMARC es prácticamente el registro más corto posible:

Hostname:   _dmarc
TXT value:  v=DMARC1; p=none

Yo le añadiría una dirección para informes, rua=mailto:dmarc@example.com o cualquier otra en la que realmente leas el correo. Outlook.com sí envía informes agregados (las preguntas frecuentes de Microsoft indican que envía RUA y que no tiene previsto enviar RUF), y el comprobador de DMARC mostrará si la dirección que indiques puede recibirlos.

Google estableció el mismo límite de 5.000 mensajes diarios para Gmail en febrero de 2024 y empezó a intensificar la aplicación de las reglas, incluidos los rechazos, en noviembre de 2025. Yahoo aplica una lista similar sin especificar ningún umbral.

La forma de aplicar la regla cambió cuando el anuncio aún era reciente. La publicación original indicaba que el correo que no cumpliera los requisitos iría primero a la carpeta de spam y que podría rechazarse más adelante. Una actualización fechada el 29 de abril indica que Microsoft decidió rechazarlo en su lugar, pero esa misma publicación todavía conserva más abajo el párrafo anterior sobre enviarlo primero a spam. La interpretación prudente hoy es que, desde el 5 de mayo de 2025, el correo que no cumple los requisitos va a spam y que Outlook.com ahora también lo rechaza con este mensaje:

No he encontrado una fecha publicada para el cambio al rechazo. El artículo de soporte simplemente lo describe en presente.

02Qué te dice el código de rebote

Un rebote de Outlook.com es más útil que un mensaje que permanece silenciosamente en correo no deseado, porque indica el motivo. La página de solución de problemas de Microsoft incluye una tabla con los códigos, y estos son los que suelen encontrar los remitentes habituales:

Un simple 550 5.7.1 sin los códigos propios de Microsoft es otro tipo de rechazo, y hay una página específica sobre cómo interpretarlo.

03Remitentes externos y el requisito de SPF

Muchos dominios envían mediante varios servicios a la vez: una plataforma de newsletters, un CRM, un servicio de asistencia y un sistema de facturación. Cada uno envía con tu dominio en la línea From, y todos deben estar cubiertos por tus registros. Ante la pregunta de si las reglas siguen siendo aplicables cuando un proveedor envía por ti, las preguntas frecuentes de Microsoft responden: "Sí. Aunque externalices el envío, la autenticación está vinculada a tu dominio". El artículo de soporte detalla qué debes verificar: que DKIM firme con tu dominio y que tu registro SPF "incluya la dirección IP o los valores include que requiera el servicio".

Aquí es donde exigir tanto SPF como DKIM resulta confuso. Muchas plataformas ponen la dirección de rebote en su propio dominio, y SPF comprueba realmente ese Return-Path. Por tanto, SPF se valida para la plataforma, lo que satisface el requisito de que "debe validarse", y la alineación DMARC tiene que proceder de una firma DKIM con tu dominio. Si la plataforma firma con su propio dominio, obtienes dos validaciones pero ninguna alineación, y el DMARC fail resultante es precisamente de lo que trata el error 5.7.515. El artículo de soporte también te pide que compruebes si el dominio de Return-Path está alineado con el dominio de From.dos validaciones, ninguna alineación: toda la historia del error 5.7.515

Cada servicio que añades a SPF también consume consultas DNS. Las preguntas frecuentes de Microsoft lo explican así: "Si superas las 10 consultas DNS, la comprobación de SPF podría fallar". El comprobador de SPF las cuenta por ti y, si superas el límite, aquí se explica cómo volver a estar por debajo de diez. El comprobador de DKIM realiza la comprobación correspondiente para el selector de cada plataforma.

04Microsoft 365 aplica la política de otra persona

Una organización de Microsoft 365 tiene políticas contra el spam configuradas por sus administradores. De forma predeterminada, el spam, el spam de alta confianza y el correo masivo van a la carpeta Correo no deseado, mientras que el phishing va a cuarentena y el phishing de alta confianza siempre se pone en cuarentena. Desde el punto de vista del remitente, la cuarentena es el resultado más perjudicial, ya que el destinatario no encuentra el mensaje en ninguna carpeta a menos que lo busque. La política predeterminada lo conserva allí durante 15 días, y las configuraciones preestablecidas Estándar y Estricta, durante 30.

El correo masivo tiene su propia medida, el nivel de quejas de correo masivo. Un BCL de 1 a 3 indica un remitente masivo con pocas quejas, mientras que 8 o 9 indica uno con muchas. La política predeterminada envía el correo masivo a Correo no deseado a partir de un BCL de 7, la configuración Estándar a partir de 6 y la Estricta a partir de 5. Además, desde julio de 2026 hay una capa más reciente: el correo masivo de carácter promocional recibe una etiqueta de Promociones independientemente de su BCL y, cuando un administrador ha activado "Bulk moves enabled", llega a una carpeta de Promociones. No es spam, pero tampoco está en la bandeja de entrada. La función todavía se está implementando.

Los dos sistemas de Microsoft no están aislados entre sí. Microsoft afirma que el filtrado de spam de Microsoft 365 «aprende de las amenazas conocidas de spam y phishing, y de los comentarios de los usuarios de nuestra plataforma para consumidores, Outlook.com», por lo que las denuncias de los lectores de hotmail.com se incorporan al filtro que utilizan las bandejas de entrada empresariales.

Los administradores también pueden incluir a un remitente en una lista de permitidos, lo que omite la mayoría de las protecciones excepto las de malware y phishing de alta confianza. Si una empresa asociada sigue recibiendo tus facturas en Correo no deseado, su equipo de TI es quien puede ver el veredicto real.

05Cómo interpretar el veredicto en las cabeceras

Cuando puedes acceder al mensaje tal como lo recibió un buzón de Microsoft 365, las cabeceras antispam indican directamente la decisión. X-Forefront-Antispam-Report incluye varios campos que conviene conocer:

• SFV:SPM significa que el filtro de spam lo marcó como spam, SFV:NSPM que no lo marcó como spam y SFV:SFE que se omitió el filtrado porque el remitente está en la lista de remitentes seguros del usuario.
• CAT indica la categoría de la política aplicada: SPM, HSPM (spam de alta confianza), BULK, PHSH, SPOOF.
• SCL es un número, -1 o de 0 a 9. Las guías antiguas lo tratan como el veredicto. La página actual sobre SCL de Microsoft indica que el valor «no determina si el filtro de spam identifica un mensaje como spam o spam de alta confianza», así que comprueba primero CAT.

Las cabeceras también incluyen compauth, el veredicto compuesto de Microsoft creado a partir de SPF, DKIM, DMARC y otras partes del mensaje. Un código de motivo 001 significa que la autenticación implícita falló, normalmente porque el dominio remitente no tenía publicados registros de autenticación o solo tenía una política poco estricta.

06SNDS y JMRP, ahora en el sitio Postmaster

Smart Network Data Services, o SNDS, ahora se encuentra en el nuevo sitio Postmaster y sustituye al antiguo de sendersupport.olc.protection.outlook.com. Proporciona datos por dirección IP, así que tienes que demostrar que eres propietario de un rango de IP antes de que te muestre información. Los datos incluyen el volumen, las tasas de quejas y un color que indica qué proporción de tu tráfico consideró spam el filtro: verde por debajo del 10 %, amarillo entre el 10 % y el 90 %, y rojo por encima del 90 %. El acceso ahora caduca 10 meses después de su aprobación o migración y debe renovarse.

Para un remitente pequeño, es posible que SNDS no muestre nada, ya que puede omitir una IP que haya enviado menos de 100 mensajes en un día determinado. Y si envías mediante las IP compartidas de una plataforma, no eres propietario de esas direcciones y no puedes registrarlas.

JMRP, el Junk Mail Reporting Program, es el bucle de retroalimentación. Inscríbete a través de SNDS y Microsoft te enviará cabeceras seleccionadas de los mensajes que los usuarios de Outlook.com hayan marcado como correo no deseado, normalmente en un plazo de 72 horas. Añade nuevas IP al programa a medida que las incorpores.

Microsoft afirma que la tasa de quejas por correo no deseado es «uno de los principales factores» de la reputación de un remitente, y las preguntas frecuentes de SNDS califican una tasa de quejas inferior al 0,3 % como «un buen objetivo al que aspirar». Las IP nuevas necesitan tiempo. Microsoft indica que una IP nueva puede alcanzar su pleno rendimiento «en un par de semanas o antes, según el volumen y la precisión de la lista». Y no, no existe una lista en la que puedas pagar para entrar. La página de solución de problemas plantea si Outlook.com mantiene una lista de permitidos a la que pueda acceder un remitente y responde: «No».

07Qué puede cambiar la persona que recibe el correo

Parte de esto depende del destinatario, y es razonable pedirle ayuda. En Outlook.com (Settings, luego Mail y después Junk email), puede marcar un mensaje como Not junk o añadir al remitente a Safe senders and domains. Esa lista admite hasta 10.000 entradas, y Microsoft señala que los remitentes incluidos en ella suelen tener los enlaces y las imágenes activados de forma predeterminada. Un usuario estricto también puede activar el modo "exclusive", que solo acepta correo de Contacts y Safe Senders.

El botón Junk funciona en sentido contrario. Microsoft utiliza esos informes para decidir si debe bloquear futuros correos del mismo remitente. Por otra parte, sus recomendaciones para remitentes piden un enlace para darse de baja que sea "claramente visible". El texto de Microsoft no menciona las cabeceras List-Unsubscribe de un solo clic que exigen Gmail y Yahoo, pero, como la misma campaña se envía a los tres, yo las añadiría siempre (las dos cabeceras).

La aplicación de escritorio tiene su propio Junk Email Filter. De forma predeterminada, está configurado como "No Automatic Filtering", con Low, High y "Safe Lists Only" por encima. Este último trata como correo no deseado todo lo que procede de remitentes que no están en las listas seguras del usuario. Sus listas de remitentes seguros y bloqueados se sincronizan con el servidor y también se utilizan allí.

También está Focused Inbox, que divide la bandeja de entrada en Focused y Other y, en palabras de Microsoft, "filtra fuentes molestas, como el correo generado automáticamente o enviado de forma masiva". Other es una pestaña de la bandeja de entrada y, según mi interpretación, un boletín que aparece allí ya ha superado el filtrado de spam.

08Pruebas antes del envío real

La propia página de resolución de problemas de Microsoft afirma que «recomienda encarecidamente realizar pruebas de correo electrónico antes de enviar comunicaciones reales». Ese es el paso que cubre Email Spam Tester. Envía el mensaje real a una dirección generada por la página, desde el servidor o la plataforma que usarías en la práctica, y el informe muestra 42 comprobaciones: SPF, DKIM y DMARC con alineación, DNS inverso, la IP de envío en 21 listas de bloqueo (por qué son importantes), las cabeceras de cancelación de suscripción y el contenido. Las comprobaciones fallidas incluyen un plan para corregirlas y registros DNS que puedes copiar. Los puntos que aporta cada corrección proceden de la tabla de puntuación.

Añade la prueba de ubicación en bandeja de entrada y el mismo mensaje también se enviará a buzones de Gmail, Outlook, Yahoo y otros proveedores. El informe muestra dónde ha llegado en cada uno, según los datos obtenidos del propio buzón, incluidas las categorías Focused u Other cuando el proveedor clasifica los mensajes de esa forma. Es gratis y no requiere registro. La documentación explica cada comprobación y cuántos puntos cuesta.

Si tu siguiente paso es abrir un ticket de soporte, ten en cuenta que el formulario de entregabilidad de Microsoft solo acepta casos relacionados con direcciones @outlook.com, @hotmail.com, @live.com y @msn.com. Además, la página de políticas advierte que, si no cumples los requisitos, «es posible que nuestro equipo de soporte no pueda ayudarte».