Por qué mis correos llegan a correo no deseado en Outlook (y cómo evitarlo)

Introducción

Tus correos llegan a la bandeja de entrada en Gmail, pero quien usa Outlook, Hotmail o una cuenta de empresa de Microsoft 365 los encuentra en Correo no deseado. O estás al otro lado y las facturas de un proveedor acaban siempre ahí.

Microsoft filtra el correo de forma distinta a Google y Yahoo, y deja pistas muy concretas en las cabeceras del mensaje. Esta guía trata solo la parte de Microsoft: cómo leer esas pistas, qué exige Microsoft a los remitentes y cómo salir de la carpeta de correo no deseado. Los arreglos rápidos para el destinatario están al final.

Si buscas las causas generales por las que los correos llegan a spam en cualquier proveedor, lee Por qué tus correos van a spam.

Primero: ¿qué Microsoft?

«Outlook» engloba dos sistemas de filtrado distintos:

Dirección del destinatario	Quién filtra	Quién controla el filtro
@outlook.com, @hotmail.com, @live.com, @outlook.es, @hotmail.es	Servicio de consumo de Outlook.com	Microsoft
@empresa.com en Microsoft 365	Exchange Online Protection (EOP) y Defender	Microsoft, más las directivas del administrador de la empresa

La aplicación de Outlook es la misma en los dos casos. El filtro, no. Si un mensaje acaba en no deseado en una empresa con Microsoft 365, la causa puede ser la directiva antispam de esa empresa, que tú como remitente no ves.

Paso 1: lee las cabeceras de un mensaje que fue a no deseado

Pide a un destinatario que te envíe las cabeceras de un mensaje que llegó a no deseado (en Outlook en la web: abre el mensaje, menú de tres puntos, Ver y Ver origen del mensaje). O envía una prueba a un buzón propio de Outlook.com.

Busca estas tres cabeceras:

Authentication-Results: spf=pass (sender IP is 203.0.113.10)
 smtp.mailfrom=bounce.example.com; dkim=pass (signature was verified)
 header.d=esp-provider.net; dmarc=fail action=none
 header.from=example.com; compauth=fail reason=001
X-Forefront-Antispam-Report: CIP:203.0.113.10;CTRY:ES;LANG:es;SCL:5;
 SFV:SPM;CAT:SPM;...
X-Microsoft-Antispam: BCL:7;...

Qué significan:

Campo	Valor	Significado
dmarc	fail	Ni SPF ni DKIM están alineados con example.com
compauth	fail reason=001	Falla la autenticación compuesta de Microsoft: el dominio no aplica DMARC y el mensaje no se autenticó
SCL	5	Nivel de confianza de spam. De 5 en adelante se trata como spam
SFV	SPM	Veredicto del filtro: spam
BCL	7	Nivel de quejas por envío masivo, de 0 a 9. Cuanto más alto, más quejas recibe ese tipo de correo

En el ejemplo, SPF pasa para bounce.example.com y DKIM pasa para esp-provider.net, pero ninguno coincide con example.com en el From. Todo pasa técnicamente y el mensaje falla DMARC igualmente.

Los códigos de compauth que conviene conocer:

• reason=000: fallo explícito. El mensaje falló DMARC y la política del dominio es quarantine o reject.
• reason=001: fallo implícito. El dominio no tiene registro DMARC, o solo tiene p=none, y el mensaje no se autenticó lo bastante bien para que Microsoft se fíe.

Pega las cabeceras completas en el analizador de cabeceras para ver ordenados los resultados de autenticación y el recorrido del mensaje.

Paso 2: cumple los requisitos de Microsoft para remitentes

En abril de 2025, Microsoft anunció requisitos para los dominios que envían más de 5.000 mensajes al día a direcciones de Outlook.com, Hotmail.com y Live.com, aplicados desde mayo de 2025:

• SPF debe pasar para el dominio de envío
• DKIM debe pasar
• DMARC debe estar publicado con al menos p=none, y el mensaje debe estar alineado con SPF o con DKIM (mejor con los dos)

Los mensajes que no cumplen pueden ir a no deseado o rechazarse con un error como este:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Microsoft recomienda además a estos remitentes usar direcciones From y Reply-To válidas, incluir un enlace de baja que funcione y mantener las listas limpias de direcciones inválidas.

Aunque envíes menos de 5.000 al día, las mismas comprobaciones alimentan el filtro. Tómalas como el mínimo:

1. Un único registro SPF válido que incluya todos los servicios que envían como tu dominio. Lee Registro SPF: sintaxis explicada con ejemplos.
2. DKIM firmado con tu propio dominio (d=example.com), no con el del proveedor. Es lo que arregla el problema de alineación del ejemplo. Lee Qué es un registro DKIM.
3. Un registro DMARC con dirección rua, para ver qué reciben de verdad Microsoft y los demás. Lee Ejemplos de registro DMARC.

Si envías desde el propio Microsoft 365, recuerda que DKIM para tu dominio personalizado no viene activado: la guía de DMARC para Microsoft 365 explica los CNAME y cómo activar la firma.

Paso 3: revisa tu reputación en Microsoft

La autenticación demuestra quién eres. La reputación decide si Microsoft quiere tu correo. Microsoft ofrece dos programas para los remitentes que entregan en Outlook.com:

• Smart Network Data Services (SNDS): muestra, por IP de envío, cuánto correo ve Microsoft, la tasa de quejas y los impactos en trampas de spam. Necesitas ser dueño de las IP o controlarlas, así que es para IP dedicadas.
• Junk Mail Reporting Program (JMRP): un bucle de retroalimentación que te envía una copia de los mensajes que los usuarios de Outlook.com marcan como no deseados. Úsalo para quitar de tus listas a quien se queja.

Si envías con la IP compartida de una plataforma de correo, no puedes usar SNDS. La reputación de la IP es cosa de la plataforma; lo tuyo es mantener bajas las quejas.

Si Microsoft te bloquea en lugar de mandarte a no deseado, el rebote suele decir el motivo. Los rechazos que mencionan la lista de bloqueo de Microsoft (códigos como S3150) indican que la IP de envío está listada. Para destinatarios de Microsoft 365, la IP se puede enviar al portal de exclusión de listas de Office 365; para Outlook.com, al formulario de soporte para remitentes de Outlook.com. Arregla antes la causa o la IP volverá a la lista.

El verificador de cumplimiento de email comprueba tu dominio contra las listas negras públicas más comunes, que es una buena primera comprobación.

Paso 4: baja tu nivel de quejas por envío masivo

El valor BCL es la estimación de Microsoft de cuánta gente se queja de correos como el tuyo. Las directivas antispam de Microsoft 365 mandan a no deseado el correo masivo con un BCL igual o superior al umbral que elige el administrador; por defecto es 7, y las directivas más estrictas usan valores más bajos.

No puedes ver el umbral, pero sí bajar tu BCL:

• Envía solo a quien lo ha pedido. Las listas compradas o extraídas de la web son el camino más rápido a un BCL alto.
• Añade la baja en un clic (cabeceras List-Unsubscribe y List-Unsubscribe-Post) y un enlace visible. Una baja fácil es mejor que un clic en «no deseado».
• Quita a los destinatarios inactivos. Meses de correos sin abrir le dicen al filtro que nadie los quiere.
• Mantén un volumen estable. Los picos repentinos desde un dominio o una IP nuevos parecen spam; calienta el envío poco a poco.
• Usa un subdominio aparte para marketing (news.example.com), para que las quejas por campañas no afecten a las facturas y a los cambios de contraseña que salen de example.com.

Paso 5: revisa el contenido y los enlaces

El contenido pesa menos que la autenticación y la reputación, pero hay cosas que perjudican de forma sistemática en Microsoft:

• Enlaces a dominios con mala reputación, incluidos los acortadores públicos de URL
• Dominios de enlaces que no tienen nada que ver con el dominio del From
• Mensajes que son solo una imagen, casi sin texto
• Adjuntos que se usan mucho para ataques, como documentos con macros o archivos comprimidos

Envía una prueba con y sin el elemento sospechoso para aislarlo.

Arreglos rápidos para el destinatario

Si eres tú quien recibe el correo, esto arregla tu buzón. No arregla la entrega para nadie más.

Outlook.com, Hotmail y el nuevo Outlook

1. Abre la carpeta Correo no deseado, selecciona el mensaje y elige No es correo no deseado. Outlook lo mueve a la bandeja de entrada.
2. Ve a Configuración, Correo, Correo no deseado y añade la dirección o el dominio en Remitentes y dominios seguros.

Outlook clásico para Windows

1. En la carpeta de correo no deseado, haz clic derecho en el mensaje y elige Correo no deseado y después No es correo no deseado.
2. Para confiar siempre en el remitente: clic derecho, Correo no deseado, No bloquear nunca al remitente (o No bloquear nunca el dominio del remitente).
3. La lista completa está en Inicio, Correo no deseado, Opciones para el correo electrónico no deseado, Remitentes seguros.

Outlook para móvil

Abre el mensaje en la carpeta de correo no deseado y usa Mover a Bandeja de entrada desde el menú del mensaje. Los remitentes seguros se gestionan desde Outlook en la web.

Administradores de Microsoft 365

• Notifica los falsos positivos desde Envíos en el portal de Microsoft Defender, para que Microsoft revise el veredicto.
• Usa la lista de permitidos y bloqueados del inquilino para un remitente concreto mientras arregla su configuración.
• Evita reglas de flujo de correo que pongan el SCL a -1 para un dominio entero. Si ese dominio se suplanta, la regla entrega el correo falso directamente en la bandeja de entrada.

Las listas de remitentes seguros no anulan los veredictos de malware ni de phishing de alta confianza de Microsoft, y no deben hacerlo.

Lista de comprobación

• Has revisado las cabeceras de un mensaje que fue a no deseado: dmarc, compauth, SCL, BCL
• SPF pasa para el dominio del remitente del sobre
• DKIM firma con tu propio dominio
• DMARC está publicado y cada origen pasa SPF o DKIM alineado
• La IP de envío no está en listas negras; SNDS y JMRP configurados si tienes IP dedicadas
• Baja en un clic y listas limpias en los envíos masivos
• El marketing sale de un subdominio aparte

Siguientes pasos

1. Analiza un mensaje que fue a no deseado: Analizador de cabeceras →
2. Comprueba SPF, DKIM y DMARC de una vez: Puntuación del dominio →
3. Revisa listas negras y cumplimiento: Verificador de cumplimiento de email →
4. ¿Envías desde Microsoft 365? Registros para Microsoft 365 →
5. Mira cómo trata Microsoft tu correo con el tiempo: Empieza gratis → — los informes agregados de DMARC que envía Microsoft muestran qué orígenes pasan o fallan la autenticación allí, para que arregles la alineación antes de perder la bandeja de entrada.

---

Artículos relacionados:

• Por qué tus correos van a spam (y cómo solucionarlo)
• Cómo configurar DMARC en Microsoft 365
• Fallo de alineación DMARC: cómo solucionarlo