Destinatarios difíciles: Microsoft y T-Online

Módulo 6: Rebotes y resolución de problemas · Tiempo de lectura: 11 minutos

Objetivo de aprendizaje: Después de esta lección conocerá las reglas propias de dos destinatarios que a menudo generan dudas, Microsoft (Outlook.com, Hotmail y Microsoft 365) y T-Online, y sabrá qué puede hacer como usuario y qué puede hacer el administrador de un servidor de envío ante un retraso o un bloqueo.

Conceptos clave: Outlook.com y Exchange Online Protection, dirección IP nueva sin reputación, 451 4.7.500 Server busy, 550 5.7.606 banned sending IP, portal de eliminación de listas sender.office.com, SNDS, JMRP, carpeta Correo no deseado, remitentes seguros, T-Online, sistema propio de reputación, forward-confirmed reverse DNS, datos de contacto en el sitio web del dominio PTR, sin inclusión en listas blancas, postmaster.t-online.de

¿Por qué precisamente estos dos?

Microsoft recibe el correo de Outlook.com, Hotmail y Live.com, y además el de una gran parte de las empresas (a través de Microsoft 365, con Exchange Online Protection como filtro). T-Online es el servicio de correo más grande de Alemania. Ambos utilizan, además de los estándares habituales, un sistema propio de reputación. Un correo que llega sin problemas a Gmail puede sufrir retrasos o ser rechazado por ellos. Quien tenga clientes o contactos en Alemania, o envíe muchos correos a direcciones de Hotmail, se encontrará con esto tarde o temprano.

Microsoft: frenado temporalmente con 4.7.500

El aviso más conocido de Microsoft es:

451 4.7.500 Server busy. Please try again later from [203.0.113.25]. (AS843)

El texto dice "servidor ocupado", pero eso no es exacto: es un freno deliberado. Microsoft utiliza esta serie de códigos (4.7.500 a 4.7.699) cuando una dirección IP emisora tiene todavía poca reputación, o cuando el comportamiento cambia de repente, por ejemplo con un fuerte aumento del número de correos. Microsoft lo describe como una restricción temporal para evaluar actividad sospechosa, que se retira automáticamente si el correo resulta ser legítimo.

¿Qué significa esto para usted?

• Es un error temporal (4xx). El servidor de envío guarda el correo y vuelve a intentarlo. Por lo general el correo acaba llegando tras uno o varios intentos, a veces después de varias horas.
• Si recibe un mensaje de retraso, no vuelva a enviar el correo. Eso aumenta el volumen y empeora el freno.
• Si esto le supone un problema (por ejemplo con códigos de acceso o facturas que deben llegar de inmediato), comuníquelo a su proveedor adjuntando el mensaje de retraso.

Lo que puede hacer el administrador del servidor de envío:

1. Comprobar que la base esté en orden: PTR con FCrDNS, sin lista de bloqueo, SPF y DKIM para los dominios que envían a través del servidor (lección 5.1 y 5.2).
2. Calentar la IP: hacer que una dirección IP nueva envíe primero una parte menor del tráfico y aumentarla poco a poco.
3. Limitar el ritmo por destinatario: menos conexiones simultáneas hacia Microsoft y un tiempo de espera razonable entre intentos, para que el servidor no choque continuamente con el freno.
4. Registrarse en SNDS y JMRP (véase más abajo).

Microsoft: bloqueado con 5.7.606

Si la dirección IP está realmente bloqueada, recibirá un error definitivo:

550 5.7.606 Access denied, banned sending IP [203.0.113.25]. To request removal from this list please visit https://sender.office.com/ and follow the directions.

Esto ocurre con el correo dirigido a entornos de Microsoft 365. El administrador de la dirección IP puede solicitar su eliminación a través del portal de eliminación de listas sender.office.com: hay que introducir la dirección de correo y la dirección IP, abrir el mensaje de confirmación y elegir allí "Delist IP". Según Microsoft, después puede tardar hasta 24 horas en desaparecer el bloqueo. Pero resuelva primero la causa: una dirección IP que vuelve a enviar spam tras ser eliminada de la lista, vuelve a entrar en ella rápidamente.

En Outlook.com y Hotmail (la parte de consumidores) la eliminación funciona mediante un formulario independiente del soporte de remitentes de Microsoft. En Microsoft no existe una lista blanca manual: sigue siendo un sistema automático de reputación.

Microsoft: SNDS y JMRP

Microsoft ofrece dos servicios gratuitos para administradores de una dirección IP de envío:

• SNDS (Smart Network Data Services): por cada dirección IP puede ver cuánto correo recibió Microsoft, cuánto de ese correo se consideró spam, cuántas quejas hubo y si la dirección cayó en trampas de spam. Un código de color (verde, amarillo, rojo) indica la situación.
• JMRP (Junk Mail Reporting Program): si un usuario de Outlook.com marca su correo como no deseado, usted recibe una copia. Así puede ver qué correo genera quejas.

Ambos servicios solo tienen sentido para quien administra su propia dirección IP: un servidor propio, o el proveedor de un servidor compartido. Como usuario habitual de un paquete de hosting o un servicio de correo, usted no se registra aquí directamente.

Microsoft: en la carpeta Correo no deseado

A menudo el correo no se rechaza, sino que se coloca en la carpeta Correo no deseado, sobre todo el de remitentes que Microsoft aún no conoce. En ese caso los códigos de error no ayudan, porque no hay rebote. Lo que funciona:

• SPF, DKIM y DMARC correctamente configurados (módulo 4). Si es usted remitente masivo, Microsoft exige que SPF Y DKIM se superen (lección 5.3).
• Pedir a sus contactos habituales que añadan su dirección a sus contactos o remitentes seguros, y que marquen el correo que estaba en Correo no deseado como "No es correo no deseado". Eso cuenta a favor de la reputación.
• No enviar boletines desde su buzón habitual (lección 7.1).

T-Online: un sistema propio

T-Online (el servicio de correo de Deutsche Telekom, con direcciones en @t-online.de y @magenta.de) es conocido por sus estrictas reglas propias. En la página de postmaster postmaster.t-online.de figuran los requisitos para los servidores de envío. Los más importantes:

1. Seguir los estándares de internet, incluidas las RFC para SMTP y para la estructura de los mensajes, y forward-confirmed reverse DNS (lección 5.1).
2. El nombre en el DNS inverso debe llevar a un dominio con un sitio web en el que se indique cómo contactar directamente con el administrador. T-Online hace referencia aquí a la directiva europea sobre comercio electrónico (directiva 2000/31/CE, artículo 5) sobre los datos obligatorios de un prestador de servicios. En Alemania, esa página se denomina Impressum.
3. No enviar correo directamente desde direcciones dinámicas, conexiones de acceso telefónico o servidores en la nube "anónimos": deben enviarse a través de un relay de un proveedor adecuado.
4. Limitar el número de conexiones simultáneas. Si hay demasiadas, recibirá 421 Maximum parallel connections for your IP-Address reached.
5. No tener un relay abierto, filtrar el correo saliente contra spam y virus, y, en el caso de TLS, usar un certificado válido.

Un bloqueo de una dirección IP en T-Online tiene este aspecto, por ejemplo:

554 IP=203.0.113.25 - A problem occurred. (Ask your postmaster for help or to contact tosa@rx.t-online.de to clarify.)

En la práctica también encontrará variantes que hacen referencia a una reputación deficiente o inexistente. El mensaje es siempre el mismo: en este momento esta dirección IP no puede entregar correo.

T-Online: ¿qué puede hacer?

T-Online indica expresamente que no ofrece inclusión en listas blancas. Sin embargo, una dirección bloqueada puede liberarse una vez eliminada la causa. El camino a seguir:

• Como usuario habitual (envía correo a través de un paquete de hosting o un servicio de correo): envíe el rebote completo a su proveedor. Solo el administrador del servidor de envío puede contactar con T-Online; usted no puede conseguir por sí mismo que se libere la dirección IP.
• Como administrador del servidor de envío: compruebe primero los requisitos anteriores (PTR, FCrDNS, un sitio web accesible con datos de contacto en el dominio del PTR, ausencia de listas de bloqueo), y después póngase en contacto a través de la dirección que figura en el mensaje de error o mediante el formulario de contacto de postmaster.t-online.de. Ante bloqueos temporales recurrentes sin causa conocida, T-Online menciona la dirección de postmaster. No cuente con recibir un acuse de recibo.
• A corto plazo: el correo dirigido a un destinatario importante de T-Online puede enviarse temporalmente por otra vía (otro proveedor o servicio de envío), o puede acordar el uso de otra dirección.

¿Y el resto?

También otros grandes servicios alemanes, como GMX y Web.de, y muchos filtros empresariales, tienen sus propios sistemas de reputación. El patrón es siempre el mismo: un servidor de envío con un PTR correcto, buena autenticación, un patrón de envío regular y tranquilo, y pocas quejas, consigue entregar prácticamente en cualquier sitio. Ante un problema, lea el rebote, busque el código en la documentación de quien lo emitió, y deje que actúe el administrador del servidor de envío.

Resumen

• 451 4.7.500 Server busy de Microsoft es un freno deliberado y temporal de la dirección IP, a menudo por poca reputación o un aumento fuerte del volumen. No reenviar.
• 550 5.7.606 significa que la dirección IP está bloqueada; el administrador solicita su eliminación a través de sender.office.com, una vez resuelta la causa.
• SNDS y JMRP ofrecen a los administradores de una dirección IP información sobre su reputación ante Microsoft.
• T-Online exige, entre otras cosas, FCrDNS y un sitio web con datos de contacto en el dominio del PTR, y no ofrece inclusión en listas blancas.
• Como usuario no puede resolver esto por sí mismo: entregue el rebote completo a su proveedor.

Cuestionario

Ejercicio

Ejercicio O6.4: Investigar un bloqueo en un gran proveedor de correo. Se le presenta un caso: una asociación envía su correo desde hace una semana a través de un nuevo servidor propio; el correo dirigido a direcciones de Hotmail llega horas más tarde y el correo dirigido a direcciones de T-Online es devuelto con un bloqueo de IP. Responda: (1) ¿qué significan los dos avisos?, (2) ¿quién debe hacer qué?, (3) ¿cuáles son las cinco cosas que debe comprobar en el servidor?, y (4) ¿qué puede hacer la asociación a corto plazo? A continuación verá la respuesta modelo.

Para saber más

Los pasos de estos artículos son válidos para los paneles de WebOké; con otros proveedores el funcionamiento es similar.

• Mis correos electrónicos no llegan o terminan en la carpeta de spam: así puede averiguarlo
• Enviar correo desde su VPS y configurar el DNS inverso
• Manual de DirectAdmin 9.4: Mi correo llega a la carpeta de spam del destinatario
• Microsoft, Email nondelivery reports and SMTP errors in Exchange Online: https://learn.microsoft.com/en-us/troubleshoot/exchange/email-delivery/ndr/non-delivery-reports-in-exchange-online
• Microsoft, Office 365 Anti-Spam IP Delist Portal: https://sender.office.com/
• Microsoft, SNDS y JMRP: https://sendersupport.olc.protection.outlook.com/snds/
• T-Online Postmaster (requisitos y contacto): https://postmaster.t-online.de/