Conectar Microsoft 365

Módulo 7: Conectar servicios externos · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Después de esta lección podrá colocar los registros DNS para Microsoft 365 y comprobar que están bien configurados.

Conceptos clave: TXT de verificación (MS=ms...), MX hacia Microsoft, include de SPF, CNAME de DKIM (selector1 y selector2), autodiscover, centro de administración

Por qué Microsoft 365 necesita registros

Con Microsoft 365 su correo electrónico llega a los servidores de Microsoft. Su sitio web puede quedarse tranquilamente en su propio proveedor de alojamiento. Para esa separación, Microsoft necesita varias cosas de su DNS:

1. una prueba de que el dominio es suyo (verificación);
2. el lugar donde llega el correo (MX);
3. permiso para enviar correo en nombre de su dominio (SPF);
4. una firma bajo su correo (DKIM);
5. un registro con el que Outlook encuentra la configuración automáticamente (autodiscover).

Estos registros se configuran en la entidad que gestiona el DNS de su dominio. ¿No sabe quién es? Consulte los servidores de nombres de su dominio (lección 2.1). Si los modifica en otro sitio, no ocurrirá nada.

Regla más importante de esta lección: tome siempre lo que muestre el centro de administración de Microsoft para su dominio. Los ejemplos a continuación muestran el aspecto de los registros. Los valores exactos varían según el dominio y la suscripción, y Microsoft a veces modifica el formato.

Paso 1: verificar el dominio

Al añadir un dominio en el centro de administración de Microsoft 365, recibirá un registro TXT con un código:

example.com.   3600   IN   TXT   "MS=ms12345678"

Coloque este registro en el dominio raíz (apex) (@). Después, haga clic en verificar en el centro de administración. Si no funciona de inmediato, espere un cuarto de hora y vuelva a intentarlo: a veces un resolver aún tiene la respuesta antigua en caché (lección 6.1). Este registro TXT puede coexistir con otros registros TXT, incluido su registro SPF (lección 4.2).

Paso 2: el MX hacia Microsoft

El registro MX apunta a un servidor de correo asociado a su dominio. Durante mucho tiempo fue el nombre de dominio con guiones en lugar de puntos, seguido de mail.protection.outlook.com:

example.com.   3600   IN   MX   0 example-com.mail.protection.outlook.com.

Las suscripciones más nuevas a veces reciben una dirección que termina en mx.microsoft, por ejemplo algo como example-com.x-v1.mx.microsoft. No es un error tipográfico: .microsoft es un dominio de primer nivel real. Cuál de los dos recibirá usted se indica en el centro de administración. Cópielo exactamente, con el punto final si su panel lo requiere (lección 2.2).

Aquí suelen producirse dos errores:

• Dejar registros MX antiguos. Elimine los registros MX hacia su servidor de correo anterior. Si se quedan, parte de su correo seguirá llegando al lugar antiguo, incluso con una prioridad más alta (lección 4.1).
• Entrega local en su proveedor de alojamiento. Muchos paneles de hosting entregan el correo de su propio sitio web (formulario de contacto, tienda online) directamente en el buzón del mismo servidor, si este cree que su correo reside allí. En DirectAdmin, esta opción se llama "Usar este servidor para gestionar mis correos electrónicos". Si configura el MX hacia Microsoft, desactive esa entrega local. De lo contrario, los formularios nunca llegarán a Microsoft. En otros paneles esto se llama, por ejemplo, "Remote mail exchanger" o "Desactivar correo local".

Paso 3: ampliar el SPF, no duplicarlo

Microsoft necesita que su registro SPF contenga:

include:spf.protection.outlook.com

¿Ya tiene un registro SPF? Entonces no cree un segundo registro, sino añada el include al registro existente. Dos registros SPF invalidan su SPF (lección 4.3). Si su sitio web envía correo a través del servidor de su proveedor de alojamiento, manténgalo también en el registro:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:spf.protection.outlook.com ~all"

Tenga en cuenta el límite de diez consultas DNS: cada include cuenta, y los includes de Microsoft también añaden sus propias consultas.

Paso 4: DKIM con dos registros CNAME

Microsoft firma su correo con una clave que gestiona Microsoft. Usted solo crea dos referencias, como CNAME:

selector1._domainkey.example.com.   3600   IN   CNAME   selector1-example-com._domainkey.example.x-v1.dkim.mail.microsoft.
selector2._domainkey.example.com.   3600   IN   CNAME   selector2-example-com._domainkey.example.x-v1.dkim.mail.microsoft.

Desde mayo de 2025, los dominios nuevos reciben este formato, que termina en dkim.mail.microsoft. La letra antes de -v1 (aquí x) varía según la suscripción. Los dominios más antiguos a menudo todavía tienen el formato que termina en onmicrosoft.com, por ejemplo selector1-example-com._domainkey.example.onmicrosoft.com. Ambos funcionan. También aquí es válido: copie los valores del centro de administración (en la configuración de DKIM del portal Defender) y no los invente usted mismo.

¿Por qué dos? Microsoft cambia las claves de vez en cuando (rotación de claves). Si solo tiene selector1 en su DNS, DKIM funcionará hasta el primer cambio y luego dejará de funcionar de repente. Por eso, cree siempre ambos.

Una vez que los registros CNAME sean visibles, active DKIM en el centro de administración. Un error frecuente es crear un registro TXT donde se pide un CNAME; Microsoft entonces indica que falta el CNAME.

Preste atención al nombre: en su panel normalmente solo debe introducir selector1._domainkey. Si escribe el nombre completo y su panel añade automáticamente su dominio al final, obtendrá selector1._domainkey.example.com.example.com (lección 8.4).

Paso 5: autodiscover

Al configurar una cuenta, Outlook busca autodiscover.<su dominio>. Haga que ese nombre apunte a Microsoft:

autodiscover.example.com.   3600   IN   CNAME   autodiscover.outlook.com.

¿Ya existe un registro A o un comodín que envía autodiscover a su servidor web? Un CNAME con el mismo nombre no puede coexistir con otro registro: elimine primero el registro A para autodiscover. Frente a un comodín (*) no necesita hacer nada: un nombre definido por separado tiene prioridad (lección 3.3).

¿Y DMARC?

Microsoft no lo pide al configurar el servicio, pero sin DMARC el correo acaba con más frecuencia en el spam. Si ya tiene un registro DMARC, puede dejarlo tal cual. Eso sí, asegúrese de que SPF y DKIM para Microsoft funcionen correctamente antes de establecer la política en quarantine o reject (lección 4.5).

En la práctica: así se ve en un panel

En el panel de ejemplo Mi WebOké, en la pestaña DNS de un dominio, hay una tarjeta Configuración de correo electrónico con Configuración rápida. Si elige Microsoft 365 ahí, verá de antemano qué registros se crearán: MX, ampliación de SPF y autodiscover, y la entrega local se desactivará. El TXT de verificación y los CNAME de DKIM los obtiene de Microsoft mismo; esos los añade por separado con Añadir Registro. En DirectAdmin se hace lo mismo a través de Registros MX (plantilla Microsoft 365, y la casilla para desactivar la entrega) y Administración de DNS.

¿Usa otro panel, como cPanel, Plesk, Cloudflare o la pantalla de DNS de su registrador? Allí los botones se llaman de otra forma, pero los campos son los mismos: nombre, tipo, valor y TTL. Algunos registradores también tienen un botón "Microsoft 365" que configura todos los registros de una vez.

Resumen

• Copie todos los valores del centro de administración de Microsoft 365, no de un ejemplo.
• Verificación: TXT MS=ms... en @. MX: la dirección que Microsoft indica para su dominio; elimine los registros MX antiguos.
• SPF: añada include:spf.protection.outlook.com a su registro existente, no cree uno segundo.
• DKIM: dos CNAME, selector1 y selector2, ambos necesarios por la rotación de claves.
• Autodiscover: CNAME hacia autodiscover.outlook.com, y desactive la entrega local en su proveedor de alojamiento.

Cuestionario

Ejercicio

Ejercicio Z7.1: Reconocer Microsoft 365. Observe cómo dos organizaciones reales usan Microsoft 365: microsoft.com y sidn.nl (el sitio web de SIDN, el registro del dominio .nl en los Países Bajos).

1. Busque el registro MX de sidn.nl y de microsoft.com. ¿Cuál de los dos usa el formato antiguo (mail.protection.outlook.com) y cuál el nuevo (mx.microsoft)?
2. Busque en el registro SPF de sidn.nl el include de Microsoft y cópielo.
3. Busque el registro CNAME de selector1._domainkey.sidn.nl. ¿Con qué palabra termina el nombre de destino (las dos últimas etiquetas)?

Introduzca sus respuestas en el campo correspondiente. La comprobación consulta los registros en el momento de la entrega, de modo que si la organización cambia algo, cuenta la nueva respuesta.

Ejercicio O7.1: Configurar usted mismo en su zona de práctica. Conecte su zona de práctica <code>.dnspractice.eu a un Microsoft 365 simulado. En la zona de práctica utilizará el servicio ficticio office-demo.dnspractice.eu; en su dominio real copiará los valores del centro de administración de Microsoft 365.

1. Verificación: coloque un registro TXT en <code>.dnspractice.eu con el código que le indica la página del ejercicio (MS=oefen-<code>-<...>).
2. MX: haga que <code>.dnspractice.eu reciba correo en mail.protection.office-demo.dnspractice.eu. con prioridad 0. Elimine otros registros MX en <code>.dnspractice.eu.
3. SPF: amplíe el registro SPF existente en <code>.dnspractice.eu con include:_spf.office-demo.dnspractice.eu, y mantenga mx. Solo puede haber un registro SPF.
4. DKIM: cree un CNAME selector1._domainkey.<code>.dnspractice.eu hacia selector1.dkim.office-demo.dnspractice.eu. y un CNAME selector2._domainkey.<code>.dnspractice.eu hacia selector2.dkim.office-demo.dnspractice.eu.
5. Autodiscover: cree un CNAME autodiscover.<code>.dnspractice.eu hacia autodiscover.office-demo.dnspractice.eu.

Para seguir leyendo

Estas páginas describen los pasos en los paneles de WebOké (DirectAdmin y Mi WebOké). En otros paneles funciona de forma similar.

• Manual de DirectAdmin 5.10: E-mail con Microsoft 365 o Google Workspace, sitio web en WebOké
• Manual de WebOké 5.6: Configurar el correo rápidamente en el DNS
• Su correo electrónico en otro lugar: Microsoft 365, Google Workspace o un servidor de correo propio
• No se puede enviar correo desde PHP: los registros MX apuntan a otro lugar
• Manual de DirectAdmin 5.7: Configurar y ampliar el SPF